CVE-2024-1894: Уразливість Stored XSS у плагіні Burst Statistics для WordPress

Що відомо

Плагін Burst Statistics для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію поля 'burst_total_pageviews_count'. Атакуючі з правами не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами з увімкненою панеллю інструментів.

Бізнес-вплив

Ця уразливість дозволяє аутентифікованим користувачам з правами контриб’ютора і вище впроваджувати шкідливий код, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Burst Statistics та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів, провести аудит журналів на предмет підозрілої активності, а також розглянути можливість тимчасового відключення плагіна або функції, що викликає уразливість. Важливо також інформувати користувачів про ризики та перевірити налаштування профілів, зокрема опцію 'Показувати панель інструментів при перегляді сайту'.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference