CVE-2024-3714: Уразливість Stored XSS у плагіні GiveWP для WordPress

Що відомо

Плагін GiveWP для WordPress має уразливість Stored Cross-Site Scripting (XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді 'give_form' при використанні застарілої форми у версіях до 3.10.0 включно. Авторизовані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати шкідливі скрипти, що може призвести до компрометації сесій користувачів, викрадення даних або зміни контенту сайту. Власники інфраструктури та ІТ-оператори повинні враховувати ризики для безпеки веб-ресурсів, особливо якщо плагін використовується на сайтах з багатьма користувачами з різними рівнями доступу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна GiveWP та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності та зменшити експозицію вразливих форм. Також варто розглянути використання додаткових засобів захисту від XSS.

Джерела

• NVD
• Reference
• Reference