Analityczne wykorzystywanie plików cookies
CVE-2024-9421: podatność Stored XSS w wtyczce Login Logout Shortcode dla WordPress
Wtyczka Login Logout Shortcode do WordPress ma lukę XSS umożliwiającą wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami Contributor i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.83%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- login logout shortcode
Co wiadomo
Wtyczka Login Logout Shortcode dla WordPress do wersji 1.1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'class' z powodu niewystarczającej sanitacji i ucieczki danych. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Login Logout Shortcode u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.