CVE-2024-5531: Stored Cross-Site Scripting w wtyczce Ocean Extra dla WordPress

Co wiadomo

Wtyczka Ocean Extra dla WordPress do wersji 2.2.8 włącznie zawiera lukę typu Stored Cross-Site Scripting w widżecie Flickr, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Administratorzy stron WordPress korzystających z tej wtyczki powinni traktować tę podatność jako istotne ryzyko dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ocean Extra i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca oraz monitorować logi pod kątem podejrzanych działań. Warto również rozważyć tymczasowe wyłączenie widżetu Flickr do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference