CVE-2024-8804: podatność na przechowywany Cross-Site Scripting w wtyczce Code Embed dla WordPress

Co wiadomo

Wtyczka Code Embed dla WordPress do wersji 2.4 włącznie zawiera lukę umożliwiającą przechowywany Cross-Site Scripting (XSS) poprzez funkcję osadzania skryptów. Atakujący z uprawnieniami co najmniej współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa witryn opartych na WordPress z zainstalowaną wtyczką Code Embed.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Code Embed u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do poziomu niepozwalającego na korzystanie z funkcji osadzania skryptów, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference