CVE-2024-6629: podatność Stored XSS w wtyczce All-in-One Video Gallery dla WordPress

Co wiadomo

Wtyczka All-in-One Video Gallery do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode Video we wszystkich wersjach do 3.7.1 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki All-in-One Video Gallery u dostawcy oraz jej instalację. W międzyczasie ogranicz dostęp do funkcji dodawania shortcode Video tylko do zaufanych użytkowników, przeglądaj logi pod kątem podejrzanej aktywności i rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń na poziomie aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference