CVE-2024-9848: luka XSS w wtyczce Product Customizer Light dla WordPress

Co wiadomo

Wtyczka Product Customizer Light dla WordPress do wersji 1.0.0 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala użytkownikom z uprawnieniami autora i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania plików SVG przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny, co wpływa na zaufanie użytkowników i stabilność usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia do przesyłania plików SVG tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitacji plików SVG. Priorytetyzuj działania naprawcze w oparciu o ryzyko i ekspozycję systemu.

Źródła

• NVD
• Reference
• Reference