CVE-2024-5192: podatność Stored XSS w wtyczce Funnel Builder dla WordPress

Co wiadomo

Wtyczka Funnel Builder dla WordPress firmy FunnelKit jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'mimes' w wersjach do 3.3.1 włącznie. Atakujący z uprawnieniami co najmniej autora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zmodyfikowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających ze sklepów WooCommerce.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Funnel Builder i zaktualizować ją do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem podejrzanych działań związanych z parametrem 'mimes'.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference