CVE-2024-5224: podatność Stored XSS w wtyczce Easy Social Like Box Popup Sidebar Widget

Co wiadomo

Wtyczka Easy Social Like Box – Popup – Sidebar Widget dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'cardoza_facebook_like_box' we wszystkich wersjach do 4.0 włącznie. Problem wynika z niewystarczającej sanitizacji i eskapowania danych wejściowych dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPressa, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy Social Like Box Popup Sidebar Widget u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i weryfikację poprawności danych wejściowych w aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference