CVE-2024-9836: podatność w wtyczce RSS Feed Widget dla WordPress

Co wiadomo

Wtyczka RSS Feed Widget dla WordPress w wersjach przed 3.0.0 nieprawidłowo waliduje i nie zabezpiecza niektórych atrybutów shortcode przed wyświetleniem, co umożliwia użytkownikom z rolą współpracownika i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Ta luka może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu witryny oraz danych użytkowników. Ataki XSS mogą skutkować kradzieżą sesji, manipulacją treścią strony lub innymi działaniami naruszającymi integralność i poufność. Operatorzy stron korzystających z tej wtyczki powinni potraktować tę podatność jako istotne ryzyko dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki RSS Feed Widget do wersji 3.0.0 lub nowszej, w której problem został załatany. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz prawa użytkowników do roli niższej niż współpracownik oraz monitoruj logi pod kątem podejrzanych działań. Przeglądaj i weryfikuj wszelkie shortcode używane w treściach, aby wykryć potencjalne próby wykorzystania luki.

Źródła

• NVD
• Reference