Analityczne wykorzystywanie plików cookies
CVE-2024-6870: podatność Stored Cross-Site Scripting w wtyczce Responsive Lightbox dla WordPress
Podatność Stored XSS w wtyczce Responsive Lightbox do WordPress umożliwia ataki przez przesyłanie plików. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 23.32%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- responsive lightbox
Co wiadomo
Wtyczka Responsive Lightbox & Gallery dla WordPress do wersji 2.4.7 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików, wynikającą z niewystarczającej sanitacji danych i ucieczki znaków w punkcie końcowym AJAX rl_upload_image. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas dostępu do plików 3gp2.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, deface’u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Responsive Lightbox & Gallery u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i edukację użytkowników o ryzyku XSS.