Вразливість Stored XSS у плагіні Common Ninja для WordPress (CVE-2024-11382)

Що відомо

Плагін Common Ninja для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених даних у шорткоді 'commonninja' у версіях до 1.1.0 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших шкідливих дій. Власники сайтів на WordPress повинні врахувати ризики для безпеки користувачів та репутації, особливо якщо на сайті є користувачі з рівнем доступу контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Common Ninja та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані, а також моніторити логи на предмет підозрілої активності. Важливо також розглянути тимчасове відключення плагіна до виправлення вразливості.

Джерела

• NVD
• Reference
• Reference