CVE-2024-5892: Збережена XSS у плагіні Divi Torque Lite для WordPress

Що відомо

Плагін Divi Torque Lite для WordPress версій до 3.6.6 включно має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію функції support_unfiltered_files_upload. Авторизовані користувачі з рівнем доступу Автор і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Вразливість дозволяє зловмисникам з правами автора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити контент сайту. Це підвищує ризик компрометації вебресурсу та довіри користувачів, що негативно впливає на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів до мінімально необхідних, ретельно контролюйте завантаження файлів і ведіть моніторинг логів на підозрілі дії. Пріоритезуйте виправлення цієї вразливості у планах безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference