CVE-2024-5938: podatność Stored Cross-Site Scripting w motywie Boot Store dla WordPress

Co wiadomo

Motyw Boot Store dla WordPress do wersji 1.6.4 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'link' w shortcode Button. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defraudacji danych lub dalszych ataków na użytkowników odwiedzających zainfekowane strony. Operatorzy stron opartych na tym motywie powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Boot Store u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrujących i zabezpieczających wejścia użytkowników.

Źródła

• NVD
• Reference
• Reference