CVE-2024-0657: podatność Stored XSS w wtyczce Internal Link Juicer dla WordPress

Co wiadomo

Wtyczka Internal Link Juicer: SEO Auto Linker dla WordPress do wersji 2.23.4 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w ustawieniach administratora, takich jak 'ilj_settings_field_links_per_page'. Pozwala to administratorom na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zmodyfikowanej strony. Problem dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html.

Wpływ biznesowy

Podatność umożliwia administratorom złośliwe modyfikacje stron poprzez wstrzyknięcie skryptów, co może prowadzić do kradzieży danych sesji lub innych ataków XSS. W środowiskach multisite lub tam, gdzie wyłączono unfiltered_html, ryzyko jest podwyższone. Operatorzy powinni zwrócić uwagę na potencjalne nadużycia uprawnień administratora i możliwe konsekwencje dla integralności i bezpieczeństwa witryn.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do ustawień wtyczki, monitorować logi pod kątem podejrzanych działań oraz rozważyć włączenie filtracji unfiltered_html, jeśli to możliwe. Priorytetem jest minimalizacja ryzyka poprzez kontrolę uprawnień i szybkie reagowanie na incydenty.

Źródła

• NVD
• Reference
• Reference