CVE-2024-6391: podatność Stored XSS w wtyczce oik dla WordPress

Co wiadomo

Wtyczka oik dla WordPress do wersji 4.10.3 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode bw_button, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wykorzystać tę lukę do trwałego wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę podatność jako poważne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki oik i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode bw_button. Regularne przeglądy i testy bezpieczeństwa wtyczek WordPress są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference