CVE-2024-5448: podatność XSS w wtyczce PayPal Pay Now, Buy Now, Donation i Cart Buttons Shortcode

Co wiadomo

Wtyczka WordPress PayPal Pay Now, Buy Now, Donation i Cart Buttons Shortcode do wersji 1.7 nieprawidłowo waliduje i nie zabezpiecza niektórych atrybutów shortcode przed wyświetleniem, co umożliwia użytkownikom z rolą współautora i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting.

Wpływ biznesowy

Atakujący z uprawnieniami współautora lub wyższymi mogą wstrzykiwać złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i integralności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz jej instalację. W przypadku braku łatki, należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, aby zminimalizować ryzyko ataku.

Źródła

• NVD
• Reference