CVE-2024-5427: podatność Stored XSS w wtyczce WPCafe dla WordPress

Co wiadomo

Wtyczka WPCafe do WordPress, używana do zamówień online i rezerwacji, jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode formularza rezerwacji w wersjach do 2.2.24 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPCafe u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt bezpieczeństwa formularzy rezerwacji. Wdrożenie mechanizmów filtrowania i escapingu danych wejściowych może dodatkowo zmniejszyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference