CVE-2024-6691: podatność Stored XSS w Easy Digital Downloads

Co wiadomo

Wtyczka Easy Digital Downloads dla WordPressa do wersji 3.3.2 zawiera podatność Stored Cross-Site Scripting (XSS) w polu wartości waluty, wynikającą z niewystarczającej sanitacji i escapingu danych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, co może prowadzić do eskalacji ataków XSS i potencjalnego przejęcia sesji użytkowników lub manipulacji zawartością strony. Operatorzy powinni zwrócić uwagę na ryzyko związane z dostępem administratorów oraz możliwe skutki dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Easy Digital Downloads do wersji nowszej niż 3.3.2, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp administratorów, zweryfikować konfigurację multisite oraz monitorować logi pod kątem podejrzanej aktywności. Warto także przeglądnąć i poprawić politykę filtrowania HTML w instalacji WordPressa.

Źródła

• NVD
• Reference
• Reference