CVE-2024-9425: podatność XSS w wtyczce Advanced Category and Custom Taxonomy Image dla WordPress

Co wiadomo

Wtyczka Advanced Category and Custom Taxonomy Image dla WordPress do wersji 1.0.9 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez shortcode ad_tax_image. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu witryny i jej odwiedzających. Może skutkować kradzieżą danych sesji, manipulacją treścią lub dalszymi atakami na infrastrukturę IT. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla integralności i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ekspozycję serwisu na ataki XSS i wprowadzić dodatkowe mechanizmy ochronne.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference