CVE-2024-5475: luka XSS w wtyczce Responsive video embed dla WordPress

Co wiadomo

Wtyczka Responsive video embed dla WordPress w wersjach przed 0.5.1 nieprawidłowo waliduje i nie zabezpiecza niektórych atrybutów shortcode, co umożliwia użytkownikom z rolą współtwórcy i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript na stronach lub wpisach, gdzie użyto shortcode wtyczki, co zagraża bezpieczeństwu użytkowników i integralności serwisu. Atakujący mogą wykorzystać tę podatność do kradzieży danych sesji lub przejęcia kontroli nad kontami użytkowników. Właściciele serwisów opartych na WordPress powinni zwrócić uwagę na potencjalne ryzyko związane z tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Responsive video embed do wersji 0.5.1 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeprowadzić przegląd i weryfikację używanych shortcode w treściach serwisu.

Źródła

• NVD
• Reference