CVE-2024-9024: podatność Stored XSS w wtyczce Material Design Icons dla WordPress

Co wiadomo

Wtyczka Material Design Icons dla WordPress do wersji 0.0.5 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode mdi-icon, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta pozwala na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Material Design Icons i aktualizację do najnowszej dostępnej wersji pochodzącej od producenta. W przypadku braku aktualizacji warto ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca oraz przeprowadzić przegląd logów pod kątem podejrzanej aktywności. Dodatkowo, warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS oraz monitorowanie i priorytetyzację działań naprawczych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference