CVE-2024-5156: Stored Cross-Site Scripting w motywie Flatsome dla WordPress

Co wiadomo

Motyw Flatsome dla WordPress do wersji 3.18.7 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y wtyczki, wynikający z niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach korzystających z motywu Flatsome istnieje ryzyko naruszenia integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji motywu Flatsome i zastosować najnowsze poprawki od producenta. W przypadku braku natychmiastowej aktualizacji zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd i weryfikację shortcode'ów używanych w witrynie.

Źródła

• NVD
• Reference
• Reference