CVE-2024-8486: podatność XSS w wtyczce Shortcodes and extra features for Phlox theme

Co wiadomo

Wtyczka Shortcodes and extra features for Phlox theme dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'url' w widgetach Modern Heading i Icon Picker we wszystkich wersjach do 2.16.3 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub manipulacji zawartością strony. Może to narazić właścicieli stron na utratę zaufania klientów oraz potencjalne szkody wizerunkowe i finansowe.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference