CVE-2024-8981: Reflected Cross-Site Scripting w wtyczce Broken Link Checker dla WordPress

Co wiadomo

Wtyczka Broken Link Checker do WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) w wersjach do 2.4.0 włącznie, z powodu niewłaściwego oczyszczania parametrów URL w funkcji add_query_arg. Atakujący może w ten sposób wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta umożliwia nieautoryzowanym osobom wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Wpływa to negatywnie na bezpieczeństwo witryny oraz zaufanie użytkowników, a także może skutkować naruszeniem zgodności z regulacjami ochrony danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Broken Link Checker i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz edukować użytkowników w zakresie unikania klikania w nieznane linki. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference