CVE-2024-6639: Wrażliwość Stored XSS w motywie MDx dla WordPress

Co wiadomo

Motyw MDx dla WordPress do wersji 2.0.3 włącznie jest podatny na atak Stored Cross-Site Scripting poprzez shortcode 'mdx_list_item' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Ta luka umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. Wpływa to na bezpieczeństwo i integralność witryny oraz może zaszkodzić reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu MDx u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj i ogranicz ekspozycję na shortcode 'mdx_list_item' oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference