CVE-2024-5613: podatność XSS w motywie Formula dla WordPress

Co wiadomo

Motyw Formula dla WordPress do wersji 0.5.1 włącznie jest podatny na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'id' w akcji AJAX 'quality_customizer_notify_dismiss_action'. Brak odpowiedniej sanitizacji i escapingu danych wejściowych umożliwia wstrzyknięcie złośliwych skryptów przez nieautoryzowanych atakujących.

Wpływ biznesowy

Podatność ta może pozwolić atakującym na wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z motywu Formula powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Formula u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję podatnej funkcji, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników, aby nie klikali w podejrzane linki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference