Analityczne wykorzystywanie plików cookies
CVE-2024-8919: podatność XSS w wtyczce Confetti Fall Animation dla WordPress
Podatność XSS w wtyczce Confetti Fall Animation do WordPress umożliwia wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy. Zalecana szybka aktualizacja.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.89%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- confetti fall animation
Co wiadomo
Wtyczka Confetti Fall Animation dla WordPress do wersji 1.3.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'confetti-fall-animation'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych w atrybutach użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny, co negatywnie wpływa na zaufanie użytkowników i stabilność usług IT.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Confetti Fall Animation u dostawcy oraz ich instalację. W przypadku braku łatki, ogranicz dostęp do funkcji edycji dla użytkowników o niższych uprawnieniach, przeglądaj logi pod kątem podejrzanej aktywności i rozważ tymczasowe wyłączenie wtyczki. Priorytetyzuj działania zabezpieczające i monitoruj środowisko pod kątem potencjalnych incydentów.