CVE-2024-8364: podatność XSS w wtyczce WP Custom Fields Search dla WordPress

Co wiadomo

Wtyczka WP Custom Fields Search do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode wpcfs-preset we wszystkich wersjach do 1.2.35 włącznie. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współpracownika lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań na kontach użytkowników odwiedzających zainfekowane strony. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Custom Fields Search u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularna weryfikacja i audyt wtyczek oraz ich konfiguracji jest kluczowa dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference