CVE-2024-8967: podatność Stored XSS w wtyczce PWA dla WordPress

Co wiadomo

Wtyczka PWA – easy way to Progressive Web App dla WordPress jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG w wersjach do 1.6.3 włącznie. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas dostępu do pliku SVG.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników lub manipulacji zawartością strony. Może to narazić infrastrukturę na ryzyko eskalacji ataków i utraty zaufania użytkowników. Operatorzy powinni zwrócić uwagę na potencjalne zagrożenia związane z przesyłaniem plików SVG i kontrolą dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki PWA u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji przesyłania plików SVG do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych aktywności. Przeprowadź audyt uprawnień użytkowników i rozważ wprowadzenie dodatkowych mechanizmów filtrowania przesyłanych plików.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference