CVE-2024-6264: podatność Stored XSS w wtyczce Post Meta Data Manager dla WordPress

Co wiadomo

Wtyczka Post Meta Data Manager dla WordPress do wersji 1.2.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr '$meta_key' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie Współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współautora lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach biznesowych może to skutkować naruszeniem integralności i poufności danych oraz utratą zaufania klientów.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Post Meta Data Manager i zaktualizować ją do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd i wzmocnienie mechanizmów sanitacji danych wejściowych na stronie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference