CVE-2024-0625: podatność Stored XSS w wtyczce WPFront Notification Bar

Co wiadomo

Wtyczka WPFront Notification Bar dla WordPressa do wersji 3.3.2 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'wpfront-notification-bar-options[custom_class]'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co pozwala administratorom na wstrzyknięcie złośliwych skryptów wykonywanych przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Wpływa to na zaufanie użytkowników oraz stabilność środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WPFront Notification Bar do wersji nienarażonej na tę podatność. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia administratorów, zweryfikować i oczyścić parametry wejściowe, a także monitorować logi serwera pod kątem podejrzanych aktywności. Warto również rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite oraz tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference
• Reference