Вразливість Stored XSS у плагіні Marketplace Items для WordPress (CVE-2024-12439)

Що відомо

Плагін Marketplace Items для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування в атрибутах шорткоду 'marketplace' у версіях до 1.5.5 включно. Зловмисники з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість може дозволити авторизованим користувачам впроваджувати шкідливий код, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Для власників інфраструктури це підвищує ризик компрометації вебресурсу та втрати довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Marketplace Items до останньої версії, де ця вразливість усунена. Якщо оновлення неможливе, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та моніторити журнали на предмет підозрілої активності. Також варто переглянути політики безпеки контенту (CSP) для зменшення ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference