CVE-2024-9378: podatność Reflected XSS w wtyczce YML for Yandex Market dla WordPress

Co wiadomo

Wtyczka YML for Yandex Market dla WordPress do wersji 4.7.2 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'page'. Brak odpowiedniej sanitacji i escapingu danych wejściowych umożliwia wstrzyknięcie złośliwych skryptów przez nieautoryzowanych atakujących.

Wpływ biznesowy

Podatność ta może pozwolić atakującym na wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron wykorzystujących tę wtyczkę powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki YML for Yandex Market u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników w zakresie unikania podejrzanych linków. Priorytetem jest szybkie wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference