Analityczne wykorzystywanie plików cookies
CVE-2024-0662: podatność Stored Cross-Site Scripting w wtyczce FancyBox dla WordPress
Podatność Stored XSS w wtyczce FancyBox dla WordPress (3.0.2-3.3.3) dotyczy multisite i wyłączonego unfiltered_html. Zalecane aktualizacje i monitorowanie.
- CVSS
- 4.4 MEDIUM
- EPSS
- 38.28%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- fancybox
Co wiadomo
Wtyczka FancyBox dla WordPress w wersjach 3.0.2 do 3.3.3 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony. Podatność dotyczy tylko instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.
Wpływ biznesowy
Podatność umożliwia administratorom złośliwe wstrzykiwanie skryptów, co może prowadzić do przejęcia sesji użytkowników lub manipulacji zawartością stron w środowiskach multisite WordPress. Może to wpłynąć na integralność i bezpieczeństwo witryny, zwłaszcza w organizacjach korzystających z multisite i restrykcyjnych ustawień filtrowania HTML.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki FancyBox u dostawcy oraz ich wdrożenie. W międzyczasie ograniczyć uprawnienia administratorów do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć weryfikację i wzmocnienie filtrów sanitacji danych w konfiguracji WordPress multisite.