CVE-2024-5964: Stored Cross-Site Scripting w motywie Zenon Lite dla WordPress

Co wiadomo

Motyw Zenon Lite dla WordPress jest podatny na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'url' w shortcode przycisku we wszystkich wersjach do 1.9 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta umożliwia atakującym z dostępem na poziomie Współpracownika lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków na infrastrukturę. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z serwisu WordPress opartego na tym motywie.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Zenon Lite i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS. Priorytetowo traktuj monitorowanie i audyt dostępu do panelu WordPress.

Źródła

• NVD
• Reference
• Reference