CVE-2024-9873: podatność Stored XSS w wtyczce Community by PeepSo dla WordPress

Co wiadomo

Wtyczka Community by PeepSo dla WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez URL-e w postach, komentarzach i profilach użytkowników, gdy włączone jest wsparcie Markdown. Luka dotyczy wszystkich wersji do 6.4.6.1 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej subskrybenta mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla użytkowników i administratorów serwisu. Właściciele serwisów powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i reputacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Community by PeepSo i ich instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do funkcji umożliwiających wprowadzanie URL-i z Markdown, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wsparcia Markdown. Priorytetowo należy ocenić ryzyko i wdrożyć środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference