CVE-2024-7356: podatność Stored XSS w wtyczce Zephyr Project Manager dla WordPress

Co wiadomo

Wtyczka Zephyr Project Manager dla WordPress do wersji 3.3.100 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'filename' z powodu niewystarczającej sanitacji danych wejściowych i braków w escapowaniu wyjścia. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z niskim poziomem uprawnień wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście witryny, co może prowadzić do kradzieży sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach biznesowych może to skutkować naruszeniem integralności i poufności danych oraz utratą zaufania do systemu.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Zephyr Project Manager i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanej aktywności oraz rozważenie tymczasowego wyłączenia wtyczki. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomagają minimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference