CVE-2024-6929: podatność Stored XSS w wtyczce Dynamic Featured Image dla WordPress

Co wiadomo

Wtyczka Dynamic Featured Image dla WordPress do wersji 3.7.0 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) poprzez parametr 'dfiFeatured'. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, defacementu stron lub innych działań szkodliwych, co wpływa na bezpieczeństwo witryny i zaufanie użytkowników. Administratorzy stron WordPress korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Dynamic Featured Image u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference