CVE-2024-9270: Luka XSS w wtyczce Lenxel Core LMS dla WordPress

Co wiadomo

Wtyczka Lenxel Core LMS dla WordPress do wersji 1.2.3 zawiera lukę typu Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji i ucieczki danych, umożliwiając atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie autora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania plików SVG przez użytkowników, co może prowadzić do kradzieży danych sesji lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Lenxel Core LMS i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, szczególnie do przesyłania plików SVG, oraz monitorować logi pod kątem podejrzanej aktywności. Warto także rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitacji plików SVG.

Źródła

• NVD
• Reference
• Reference
• Reference