CVE-2024-6864: podatność Stored XSS w wtyczce WP Last Modified Info

Co wiadomo

Wtyczka WP Last Modified Info dla WordPressa do wersji 1.9.0 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w atrybucie 'template' shortcode'u lmt-post-modified-info. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami Contributor lub wyższymi mogą wykorzystać lukę do eskalacji uprawnień lub kradzieży sesji. Właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Last Modified Info u dostawcy oraz jej instalację. W międzyczasie ogranicz dostęp do edycji treści użytkownikom o uprawnieniach Contributor i wyższych, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference