CVE-2024-6894: podatność Stored Cross-Site Scripting w wtyczce RD Station dla WordPress

Co wiadomo

Wtyczka RD Station dla WordPress do wersji 5.3.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia w metaboxach postów. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co może skutkować kradzieżą sesji, manipulacją zawartością strony lub innymi atakami skierowanymi na użytkowników serwisu. Operatorzy stron korzystających z wtyczki RD Station powinni zwrócić uwagę na możliwość nadużyć przez użytkowników z uprawnieniami współtwórcy i wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki RD Station i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować i ograniczać możliwość wprowadzania danych w metaboxach. Priorytetowo należy wdrożyć środki zapobiegające XSS i regularnie aktualizować oprogramowanie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference