CVE-2024-0656: podatność Stored XSS w wtyczce Password Protected dla WordPress

Co wiadomo

Wtyczka Password Protected – Ultimate Plugin to Password Protect Your WordPress Content with Ease do wersji 2.6.6 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) poprzez Google Captcha Site Key. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala administratorom na wstrzyknięcie złośliwych skryptów w strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora w środowiskach multisite lub tam, gdzie wyłączono unfiltered_html, wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań zagrażających bezpieczeństwu i integralności witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Password Protected u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki na środowiskach multisite lub tam, gdzie wyłączono unfiltered_html.

Źródła

• NVD
• Reference
• Reference