CVE-2024-8799: podatność Reflected Cross-Site Scripting w wtyczce Custom Banners dla WordPress

Co wiadomo

Wtyczka Custom Banners dla WordPress do wersji 3.3 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) z powodu nieprawidłowego użycia funkcji add_query_arg bez odpowiedniego oczyszczania URL. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z bezpieczeństwem stron opartych na WordPress z zainstalowaną tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom Banners u dostawcy oraz jej wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję podatnych stron, monitorować logi pod kątem podejrzanej aktywności oraz edukować użytkowników w zakresie nieklikania w podejrzane linki. Priorytetem jest szybka reakcja i minimalizacja ryzyka wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference