CVE-2024-7144: podatność Stored XSS w wtyczce JetElements dla WordPress

Co wiadomo

Wtyczka JetElements dla WordPress do wersji 2.6.20 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametry 'id' i 'slide_id'. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie Współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkownika, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów witryny. W środowiskach produkcyjnych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki JetElements u dostawcy i zastosować dostępne poprawki. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference