Analityczne wykorzystywanie plików cookies
CVE-2024-5965: luka Stored Cross-Site Scripting w motywie Mosaic dla WordPress
Motyw Mosaic WordPress do wersji 1.7.1 ma lukę Stored XSS umożliwiającą ataki przez parametr 'link'. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.27%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- mosaic
Co wiadomo
Motyw Mosaic dla WordPress jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'link' w shortcode przycisku we wszystkich wersjach do 1.7.1 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Organizacje korzystające z motywu Mosaic powinny traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Mosaic u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularne przeglądy i audyty bezpieczeństwa motywów i wtyczek WordPress są kluczowe dla minimalizacji ryzyka.