Analityczne wykorzystywanie plików cookies
CVE-2024-6339: podatność Reflected Cross-Site Scripting w motywie Phlox PRO dla WordPress
Phlox PRO do WordPress ma lukę XSS w parametrach wyszukiwania do wersji 5.16.4. Zalecana szybka aktualizacja i monitorowanie.
- CVSS
- 6.1 MEDIUM
- EPSS
- 30.96%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- phlox
Co wiadomo
Motyw Phlox PRO dla WordPress w wersjach do 5.16.4 włącznie jest podatny na atak Reflected Cross-Site Scripting (XSS) poprzez parametry wyszukiwania z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków w wyjściu. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany, jeśli użytkownik kliknie spreparowany link.
Wpływ biznesowy
Podatność ta umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Operatorzy stron korzystających z tego motywu powinni traktować tę lukę jako średniego ryzyka i podjąć działania w celu jej eliminacji.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Phlox PRO u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję parametrów wyszukiwania, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku klikania nieznanych linków. Priorytetem jest szybka aktualizacja do wersji pozbawionej tej podatności.