CVE-2024-5544: podatność Reflected Cross-Site Scripting w wtyczce Media Library Assistant

Co wiadomo

Wtyczka Media Library Assistant dla WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr order we wszystkich wersjach do 3.17 włącznie, z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący bez uwierzytelnienia mogą wstrzyknąć złośliwe skrypty, które wykonają się, jeśli użytkownik zostanie nakłoniony do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i sesji użytkowników witryny. Może to skutkować kradzieżą danych, przejęciem konta lub innymi atakami skierowanymi na użytkowników serwisu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Media Library Assistant u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników, by nie klikali w podejrzane linki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference