Analityczne wykorzystywanie plików cookies
CVE-2024-5571: podatność Stored XSS w wtyczce EmbedPress dla WordPress
Podatność Stored XSS w wtyczce EmbedPress do WordPress pozwala na wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 23.72%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- embedpress
Co wiadomo
Wtyczka EmbedPress do WordPressa (wersje do 4.0.1 włącznie) zawiera lukę Stored Cross-Site Scripting (XSS) w atrybucie 'url' widgetu PDF. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony, narażając użytkowników na kradzież danych sesji lub inne ataki. Może to prowadzić do utraty zaufania użytkowników oraz potencjalnych naruszeń bezpieczeństwa danych w serwisie opartym na WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EmbedPress u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.