CVE-2024-5881: Stored Cross-Site Scripting w wtyczce Webico Slider Flatsome Addons dla WordPress

Co wiadomo

Wtyczka Webico Slider Flatsome Addons dla WordPress do wersji 2.0.1 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode wbc_image, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka ta pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript w treść stron WordPress, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować zagrożenie poważnie, zwłaszcza jeśli mają wielu współtwórców lub użytkowników z podwyższonymi uprawnieniami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Webico Slider Flatsome Addons i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference