CVE-2024-5533: podatność Stored Cross-Site Scripting w motywie Divi dla WordPress

Co wiadomo

Motyw Divi dla WordPress w wersjach do 4.25.1 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to atakującym z uprawnieniami co najmniej autora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami autora lub wyższymi mogą manipulować zawartością stron, co może skutkować utratą zaufania użytkowników oraz potencjalnymi naruszeniami danych. W środowiskach produkcyjnych korzystających z motywu Divi zaleca się szybkie zweryfikowanie i ograniczenie ryzyka.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji motywu Divi u dostawcy i zastosować je, jeśli są dostępne. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i oczyszczać wprowadzaną treść. Zaleca się także przegląd polityk bezpieczeństwa i wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference