CVE-2024-5141: podatność Stored XSS w wtyczce Rotating Tweets dla WordPress

Co wiadomo

Wtyczka Rotating Tweets dla WordPress do wersji 1.9.10 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub innych ataków opartych na skryptach wykonywanych w kontekście przeglądarki ofiary. Operatorzy stron wykorzystujących tę wtyczkę powinni rozważyć ryzyko związane z dostępem użytkowników do panelu WordPress i potencjalnym wykorzystaniem tej luki do eskalacji ataków.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Rotating Tweets u dostawcy. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukację użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference