CVE-2024-7090: Reflected Cross-Site Scripting w wtyczce LH Add Media From Url dla WordPress

Co wiadomo

Wtyczka LH Add Media From Url dla WordPress do wersji 1.23 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'lh_add_media_from_url-file_url'. Brak odpowiedniej sanitizacji i escapingu danych wejściowych pozwala na wstrzyknięcie złośliwych skryptów przez nieautoryzowanych atakujących.

Wpływ biznesowy

Podatność ta umożliwia atakującym wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i prywatności użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LH Add Media From Url i jej instalację. W przypadku braku łatki, ogranicz ekspozycję podatnego parametru, monitoruj logi pod kątem podejrzanej aktywności oraz edukuj użytkowników w zakresie unikania podejrzanych linków. Priorytetyzuj działania zabezpieczające zgodnie z ryzykiem biznesowym.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference