CVE-2024-5668: luka XSS w wtyczce FooBox dla WordPress

Co wiadomo

Wtyczka Lightbox & Modal Popup FooBox dla WordPress do wersji 2.7.28 zawiera lukę DOM-based Stored Cross-Site Scripting wynikającą z niewystarczającej sanitacji i ucieczki danych HTML. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Luka pozwala na wykonywanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych ataków skierowanych na użytkowników witryny. Operatorzy stron WordPress korzystający z FooBox powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki FooBox u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o potencjalnych zagrożeniach XSS.

Źródła

• NVD
• Reference
• Reference