CVE-2024-9897: Luka XSS w wtyczce StreamWeasels Twitch Integration dla WordPress

Co wiadomo

Wtyczka StreamWeasels Twitch Integration dla WordPress do wersji 1.8.6 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode sw-twitch-embed, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta stanowi zagrożenie dla bezpieczeństwa witryn WordPress korzystających z tej wtyczki, gdyż atakujący mogą wstrzykiwać i wykonywać złośliwe skrypty, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i poufności danych. Operatorzy powinni ocenić ryzyko w kontekście swoich środowisk i użytkowników z uprawnieniami współtwórcy i wyżej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki StreamWeasels Twitch Integration i ich wdrożenie. Jeśli aktualizacja nie jest dostępna, należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode sw-twitch-embed. Warto także przeprowadzić przegląd zabezpieczeń i edukację użytkowników z uprawnieniami współtwórcy i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference