Уразливість Reflected Cross-Site Scripting у плагіні AI Assistant для WordPress (CVE-2024-11331)

Що відомо

Плагін AI Assistant для WordPress до версії 2.1.3 містить уразливість Reflected Cross-Site Scripting через неправильне екранування параметрів URL при використанні функцій add_query_arg та remove_query_arg. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з посиланнями.

Бізнес-вплив

Уразливість може призвести до компрометації сесій користувачів, викрадення облікових даних або виконання небажаних дій від імені користувача. Для власників веб-інфраструктури це означає підвищений ризик атак через браузер, що може вплинути на довіру користувачів та безпеку даних.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна AI Assistant від розробника та встановити їх, якщо доступні. У разі відсутності патчу слід обмежити доступ до вразливих сторінок, впровадити додаткові заходи фільтрації URL-параметрів, переглянути журнали на предмет підозрілої активності та підвищити обізнаність користувачів про ризики кліків на підозрілі посилання.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference