CVE-2024-0602: podatność XSS w wtyczce Yet Another Related Posts Plugin dla WordPress

Co wiadomo

Wtyczka YARPP dla WordPress do wersji 5.30.9 zawiera podatność typu Stored Cross-Site Scripting w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować przejęciem sesji, manipulacją treścią lub innymi atakami skierowanymi na użytkowników i administratorów witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i naruszenia integralności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki YARPP i ich wdrożenie. W przypadku braku natychmiastowej poprawki, ograniczenie uprawnień administratorów, przegląd logów pod kątem podejrzanej aktywności oraz weryfikacja konfiguracji multisite i ustawień unfiltered_html. Warto również monitorować oficjalne kanały dostawcy wtyczki w celu uzyskania dalszych wskazówek.

Źródła

• NVD
• Reference
• Reference
• Reference