Analityczne wykorzystywanie plików cookies
CVE-2024-5567: podatność Stored XSS w motywie Betheme dla WordPress
Podatność Stored XSS w motywie Betheme WordPress do wersji 27.5.5 umożliwia ataki przez pliki SVG. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.61%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- betheme
Co wiadomo
Motyw Betheme dla WordPress do wersji 27.5.5 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie do zainfekowanego pliku SVG. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tego motywu bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji motywu Betheme i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum, monitorowanie i analizę logów pod kątem podejrzanej aktywności oraz rozważenie tymczasowego wyłączenia obsługi przesyłania plików SVG. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomagają minimalizować ryzyko.