CVE-2024-8500: podatność Stored Cross-Site Scripting w wtyczce Shortcodes Ultimate dla WordPress

Co wiadomo

Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.2.2 jest podatna na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta pozwala na wykonanie złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętymi skryptami, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Operatorzy stron opartych na WordPress powinni zwrócić uwagę na możliwość wykorzystania tej luki przez użytkowników z uprawnieniami współtwórcy i wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shortcodes Ultimate u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference