CVE-2024-5536: podatność Stored XSS w wtyczce GamiPress – Link dla WordPress

Co wiadomo

Wtyczka GamiPress – Link dla WordPress do wersji 1.1.4 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i eskalacji danych wejściowych w atrybutach shortcode gamipress_link. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką GamiPress – Link powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, szczególnie poziomu współtwórcy i wyżej. Warto również przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nieautoryzowanych zmian i wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference