Уразливість Stored XSS у темі Astra для WordPress (CVE-2024-2347)

Що відомо

Тема Astra для WordPress до версії 4.6.8 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію і екранування імені користувача. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді заражених сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами контриб'ютора і вище впроваджувати довготривалі шкідливі скрипти, що можуть викликати викрадення сесій, зміну контенту або інші атаки на користувачів сайту. Власники сайтів на WordPress з темою Astra повинні розглянути ризики компрометації даних та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень теми Astra від розробника і застосувати їх при доступності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит введених імен користувачів, а також моніторити журнали на предмет підозрілої активності. Важливо також впровадити додаткові заходи безпеки, такі як веб-фаєрволи та регулярний аналіз безпеки сайту.

Джерела

• NVD
• Reference
• Reference