CVE-2024-9023: podatność Stored Cross-Site Scripting w wtyczce WP-WebAuthn dla WordPress

Co wiadomo

Wtyczka WP-WebAuthn dla WordPress w wersjach do 1.3.3 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode wwa_login_form. Problem wynika z niewystarczającej sanitacji i escapingu danych wprowadzanych przez użytkowników, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność może pozwolić atakującym na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP-WebAuthn u dostawcy i wdrożenie najnowszej wersji eliminującej podatność. W przypadku braku natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference