CVE-2024-6752: podatność Stored Cross-Site Scripting w wtyczce Social Auto Poster dla WordPress

Co wiadomo

Wtyczka Social Auto Poster dla WordPress do wersji 5.3.14 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w parametrze 'wp_name' funkcji AJAX 'wpw_auto_poster_map_wordpress_post_type'. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej subskrybenta na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z poziomem subskrybenta lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Social Auto Poster i zaktualizować ją do najnowszej dostępnej wersji, w której podatność została załatana. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji AJAX, przegląd logów pod kątem podejrzanej aktywności oraz stosowanie zasad minimalizacji uprawnień użytkowników. Regularne monitorowanie i szybkie reagowanie na incydenty zwiększy bezpieczeństwo środowiska.

Źródła

• NVD
• Reference
• Reference