CVE-2024-4939: podatność Stored XSS w wtyczce Weaver Xtreme Theme Support

Co wiadomo

Wtyczka Weaver Xtreme Theme Support dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode div we wszystkich wersjach do 6.4 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki w środowisku produkcyjnym wymaga szybkiej reakcji, aby ograniczyć ryzyko nadużyć.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Weaver Xtreme Theme Support i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode div. Regularne przeglądy bezpieczeństwa i edukacja użytkowników o ryzyku XSS są również wskazane.

Źródła

• NVD
• Reference
• Reference