CVE-2024-5079: podatność Stored XSS w wtyczce wp eMember dla WordPress

Co wiadomo

Wtyczka wp eMember dla WordPress w wersjach przed 10.6.7 nie sanitizuje i nie ucieka niektórych pól podczas rejestracji użytkowników, co umożliwia nieautoryzowanym osobom przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Ta luka może pozwolić atakującym na wstrzyknięcie złośliwego kodu JavaScript, który zostanie wykonany w przeglądarce innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji danymi lub innych działań naruszających bezpieczeństwo i prywatność użytkowników serwisu. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym wykorzystaniem tej podatności.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki wp eMember do wersji 10.6.7 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do formularzy rejestracji oraz monitorować logi pod kątem podejrzanych działań. Ponadto, należy przeprowadzić przegląd i wzmocnienie mechanizmów sanitizacji danych wprowadzanych przez użytkowników.

Źródła

• NVD
• Reference