Analytical use of cookies
Уразливість Call Now Button WordPress плагіна (CVE-2024-2908)
Call Now Button плагін WordPress до 1.4.7 має уразливість Stored XSS, що дозволяє атаки адміністраторам без unfiltered_html. Оновіть плагін для безпеки.
- CVSS
- 4.3 MEDIUM
- EPSS
- 48.21%
- Активно використовується
- немає в KEV
- Продукт
- call now button
Що відомо
Плагін Call Now Button для WordPress версій до 1.4.7 не очищує та не екранує деякі налаштування, що дозволяє адміністраторам виконувати атаки збереженого міжсайтового скриптингу (Stored XSS) навіть без права unfiltered_html, наприклад у мультисайтових середовищах.
Бізнес-вплив
Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів сайту, що ставить під загрозу безпеку даних і довіру до ресурсу. Власники сайтів на базі WordPress, які використовують цей плагін, ризикують компрометацією адміністративних облікових записів і подальшими атаками на інфраструктуру.
Рекомендовані дії адміністратора
Рекомендується оновити плагін Call Now Button до останньої версії, що містить виправлення. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, перевірити журнали безпеки на ознаки XSS-атак та мінімізувати використання unfiltered_html. Також варто регулярно переглядати налаштування плагіна та застосовувати загальні практики безпеки WordPress.