CVE-2024-0559: luka w wtyczce Enhanced Text Widget dla WordPress

Co wiadomo

Wtyczka Enhanced Text Widget dla WordPress w wersjach przed 1.6.6 nieprawidłowo waliduje i nie zabezpiecza niektórych opcji widgetu przed wyświetleniem, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w przeglądarce administratora lub innych użytkowników z wysokimi uprawnieniami, co zagraża integralności i bezpieczeństwu witryny WordPress. Atakujący mogą wykorzystać tę podatność do eskalacji uprawnień lub przejęcia kontroli nad stroną, szczególnie w środowiskach multisite, gdzie unfiltered_html jest zablokowane.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Enhanced Text Widget do wersji 1.6.6 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji zabezpieczeń multisite i stosowanie zasad minimalnych uprawnień również zwiększy ochronę.

Źródła

• NVD
• Reference
• Reference