Уразливість у плагіні Garden Gnome Package для WordPress (CVE-2024-8657)

Що відомо

Плагін Garden Gnome Package для WordPress має уразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді ggpkg. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами контриб’ютора та вище впроваджувати довготривалі XSS-атаки, що можуть призвести до компрометації сесій, викрадення даних або поширення шкідливого коду серед відвідувачів сайту. Власникам сайтів на WordPress слід оцінити ризики, особливо якщо плагін використовується у публічних або багатокористувацьких середовищах.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів до мінімально необхідних, ретельно перевіряйте введені дані та ведіть моніторинг логів на предмет підозрілої активності. Також варто розглянути тимчасове відключення плагіна, якщо ризики надто високі.

Джерела

• NVD
• Reference
• Reference
• Reference