CVE-2024-6272: podatność Reflected XSS w wtyczce SpiderContacts dla WordPress

Co wiadomo

Wtyczka SpiderContacts do WordPressa w wersjach do 1.1.7 nie sanitizuje i nie ucieka parametrów przed ich wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność ta może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratorów witryny, co może skutkować przejęciem kontroli nad panelem zarządzania lub eskalacją uprawnień. Zagrożenie to wpływa na bezpieczeństwo infrastruktury CMS i może prowadzić do utraty danych lub defacementu strony.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki SpiderContacts u dostawcy 10web i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych aktywności oraz stosować mechanizmy ochrony przed XSS. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference