CVE-2024-9703: podatność Stored XSS w wtyczce Arconix Shortcodes dla WordPress

Co wiadomo

Wtyczka Arconix Shortcodes do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'button' w wersjach do 2.1.12 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPressa, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Arconix Shortcodes i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'button'. Regularna weryfikacja i audyt bezpieczeństwa CMS jest wskazana.

Źródła

• NVD
• Reference
• Reference