CVE-2024-0653: podatność Stored XSS w wtyczce Custom Field Template dla WordPress

Co wiadomo

Wtyczka Custom Field Template dla WordPress do wersji 2.6.1 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono opcję unfiltered_html, umożliwiając atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym unfiltered_html, co ogranicza zakres ryzyka, ale wymaga uwagi operatorów stron WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom Field Template u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference