CVE-2024-5922: Stored Cross-Site Scripting w motywie Scylla lite dla WordPress

Co wiadomo

Motyw Scylla lite dla WordPress do wersji 1.8.3 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'url' w shortcode Button. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Organizacje korzystające z tego motywu powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Scylla lite i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp użytkowników do poziomu Contributor i wyższego oraz przeprowadź przegląd logów pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS oraz monitorowanie i ograniczanie możliwości wprowadzania kodu przez użytkowników.

Źródła

• NVD
• Reference
• Reference