CVE-2024-9543: Luka XSS w wtyczce PowerPress Podcasting dla WordPress

Co wiadomo

Wtyczka PowerPress Podcasting firmy Blubrry dla WordPress zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'skipto' we wszystkich wersjach do 11.9.18 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym otwarciu zainfekowanej strony. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy właścicieli stron korzystających z tej wtyczki, którzy nie zaktualizowali jej do bezpiecznej wersji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki PowerPress Podcasting i jej instalację. W przypadku braku natychmiastowej aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum oraz monitorować logi serwera pod kątem podejrzanych działań. Warto również przeprowadzić audyt stron pod kątem obecności złośliwych skryptów i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference