CVE-2024-5501: Stored Cross-Site Scripting w Supreme Modules Lite dla WordPress

Co wiadomo

Wtyczka Supreme Modules Lite dla motywów Divi i Extra oraz Divi Builder w WordPress jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'button_one_id' w wersjach do 2.5.51 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście użytkownika odwiedzającego zainfekowaną stronę. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Wpływa to na bezpieczeństwo i reputację witryny oraz może skutkować naruszeniem danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Supreme Modules Lite i jej komponentów Divi Theme, Extra Theme oraz Divi Builder oraz ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie mechanizmów zapobiegających XSS. Priorytetowo należy zabezpieczyć środowisko i przeprowadzić audyt bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference