CVE-2024-5892: Stored Cross-Site Scripting w wtyczce Divi Torque Lite dla WordPress

Co wiadomo

Wtyczka Divi Torque Lite – Divi Theme i Extra Theme dla WordPress do wersji 3.6.6 zawiera lukę typu Stored Cross-Site Scripting (XSS) w funkcji 'support_unfiltered_files_upload'. Umożliwia to atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa swoich stron i danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Divi Torque Lite do wersji po 3.6.6, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu niższego niż autor oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i weryfikację wprowadzanych treści oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń XSS.

Źródła

• NVD
• Reference
• Reference
• Reference