Analityczne wykorzystywanie plików cookies
CVE-2024-5177: podatność Stored Cross-Site Scripting w wtyczce Hash Elements dla WordPress
Podatność Stored XSS w wtyczce Hash Elements dla WordPress umożliwia atakującym z uprawnieniami współpracownika wstrzyknięcie złośliwych skryptów. Zalecana aktualizacja i ograniczenie dostępu.
- CVSS
- 6.4 MEDIUM
- EPSS
- 23.69%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- hash elements
Co wiadomo
Wtyczka Hash Elements dla WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'url' w wielu widgetach we wszystkich wersjach do 1.3.8 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych od użytkowników, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.
Wpływ biznesowy
Podatność ta umożliwia atakującym z dostępem współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwych skryptów na stronach WordPress, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny. Operatorzy stron korzystających z tej wtyczki powinni potraktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Hash Elements i zaktualizować ją do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i filtrowanie danych wejściowych. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.