CVE-2024-8871: Reflected Cross-Site Scripting w wtyczce Easy Pricing Tables dla WordPress

Co wiadomo

Wtyczka Easy Pricing Tables dla WordPress (do wersji 3.2.5 włącznie) jest podatna na atak Reflected Cross-Site Scripting (XSS) z powodu niewłaściwego zabezpieczenia funkcji add_query_arg przy przetwarzaniu URL. Atakujący może wprowadzić złośliwy skrypt, który zostanie wykonany po nakłonieniu użytkownika do kliknięcia spreparowanego linku.

Wpływ biznesowy

Podatność ta pozwala na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Operatorzy stron wykorzystujących tę wtyczkę powinni potraktować tę lukę jako istotne zagrożenie dla bezpieczeństwa użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Easy Pricing Tables do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników w zakresie nieklikania podejrzanych linków. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference
• Reference