Analytical use of cookies
CVE-2024-3560: Вразливість Stored XSS у плагіні LearnPress для WordPress
Вразливість Stored XSS у плагіні LearnPress (до версії 4.2.6.4) дозволяє впроваджувати шкідливі скрипти користувачам з рівнем контриб'ютора і вище.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.35%
- Активно використовується
- немає в KEV
- Продукт
- learnpress
Що відомо
Плагін LearnPress для WordPress містить вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметра _id у версіях до 4.2.6.4 включно. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок користувачами.
Бізнес-вплив
Ця вразливість дозволяє зловмисникам впроваджувати довготривалі скрипти, що можуть викрадати сесійні дані або виконувати небажані дії від імені користувачів. Для організацій, що використовують LearnPress, це підвищує ризик компрометації облікових записів та порушення цілісності вебресурсу. Вразливість має середній рівень критичності, тому її слід враховувати при плануванні оновлень та заходів безпеки.
Рекомендовані дії адміністратора
Адміністраторам рекомендується перевірити наявність оновлень плагіна LearnPress від розробника thimpress та оперативно їх застосувати. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення плагіна. Рекомендується також впровадити додаткові заходи фільтрації та санітизації введених даних.