CVE-2024-8720: RumbleTalk Live Group Chat dla WordPress narażony na przechowywany XSS

Co wiadomo

Wtyczka RumbleTalk Live Group Chat – HTML5 dla WordPress do wersji 6.3.0 zawiera lukę umożliwiającą przechowywany Cross-Site Scripting (XSS) poprzez shortcode 'rumbletalk-admin-button'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki RumbleTalk i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z shortcode 'rumbletalk-admin-button'.

Źródła

• NVD
• Reference
• Reference
• Reference