Analityczne wykorzystywanie plików cookies
CVE-2024-5925: Stored Cross-Site Scripting w motywie Theron Lite dla WordPress
Podatność Stored XSS w motywie Theron Lite WordPress do wersji 2.0 umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników Contributor i wyższych.
- CVSS
- 6.4 MEDIUM
- EPSS
- 25.7%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Motyw Theron Lite dla WordPress do wersji 2.0 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) przez parametr 'url' w shortcode przycisku. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji lub innych działań naruszających bezpieczeństwo użytkowników i integralność serwisu. Wpływa to na bezpieczeństwo witryny i może obniżyć zaufanie użytkowników oraz narazić firmę na ryzyko reputacyjne.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Theron Lite i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS, takich jak Web Application Firewall.