CVE-2024-6263: podatność Stored XSS w wtyczce WP Lightbox 2

Co wiadomo

Wtyczka WP Lightbox 2 dla WordPressa do wersji 3.0.6.6 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'title'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem do panelu WordPressa na poziomie Współpracownika lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, deface’u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Operatorzy CMS powinni zweryfikować obecność tej wtyczki i ocenić ryzyko w swoich środowiskach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Lightbox 2 u dostawcy oraz jej instalację. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Przegląd i weryfikacja wprowadzanych treści przez użytkowników również pomoże ograniczyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference