CVE-2024-5638: podatność XSS w motywie Formula dla WordPress

Co wiadomo

Motyw Formula dla WordPress do wersji 0.5.1 włącznie jest podatny na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'id' w akcji AJAX 'ti_customizer_notify_dismiss_recommended_plugins'. Brak odpowiedniej sanitacji i escapingu danych wejściowych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które mogą zostać wykonane po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji, przejęcia konta użytkownika lub innych działań wykonywanych w kontekście przeglądarki ofiary, co zagraża bezpieczeństwu witryny i jej użytkowników. Operatorzy stron korzystających z motywu Formula powinni traktować tę lukę jako istotne ryzyko, zwłaszcza jeśli witryna umożliwia interakcję użytkowników z niezaufanymi źródłami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Formula u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję funkcji AJAX związanej z parametrem 'id', monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku klikania w nieznane linki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i rozważyć dodatkowe mechanizmy ochronne, takie jak Web Application Firewall.

Źródła

• NVD
• Reference
• Reference
• Reference