CVE-2024-7606: podatność Stored XSS w wtyczce Front End Users dla WordPress

Co wiadomo

Wtyczka Front End Users dla WordPress do wersji 3.2.28 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'user-search' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co może skutkować kradzieżą danych sesji, przejęciem konta lub innymi atakami na użytkowników i administratorów. W środowiskach WordPress z wieloma użytkownikami i różnymi poziomami uprawnień ryzyko eskalacji szkód jest istotne, zwłaszcza gdy atakujący posiadają dostęp na poziomie współtwórcy lub wyższym.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Front End Users u dostawcy i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z dostępem do shortcode 'user-search'. Dodatkowo warto przejrzeć logi pod kątem podejrzanych aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian i wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference