CVE-2024-8433: Stored Cross-Site Scripting w Easy Mega Menu Plugin dla WordPress

Co wiadomo

Wtyczka Easy Mega Menu dla WordPress (ThemeHunk) do wersji 1.1.0 zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'themehunk_megamenu_bg_image'. Luka pozwala uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin strony.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonywania złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Wpływa to na bezpieczeństwo i reputację witryny oraz może skutkować utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Easy Mega Menu i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki dla użytkowników o niskich uprawnieniach, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt bezpieczeństwa strony. Warto również rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference