CVE-2024-11898: Уразливість Stored XSS у плагіні Scratch & Win для WordPress

Що відомо

Плагін Scratch & Win для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів у шорткоді 'swin-campaign' у версіях до 2.6.9 включно. Зловмисники з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість дозволяє автентифікованим користувачам із правами контриб’ютора та вище впроваджувати довготривалі шкідливі скрипти, що можуть викрасти сесійні дані або вплинути на користувацький досвід. Це підвищує ризик компрометації сайту та довіри користувачів, що може негативно позначитися на репутації та бізнес-показниках.

Рекомендовані дії адміністратора

Адміністраторам слід перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, рекомендується обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації, а також впровадити додаткові заходи захисту, такі як веб-фаєрволи та моніторинг активності.

Джерела

• NVD
• Reference
• Reference
• Reference