CVE-2024-0664: luka XSS w wtyczce Meks Smart Social Widget dla WordPress

Co wiadomo

Wtyczka Meks Smart Social Widget do WordPressa w wersjach do 1.6.3 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia. Luka umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji lub innych działań szkodliwych dla użytkowników i właścicieli stron.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki Meks Smart Social Widget i rozważyć aktualizację do nowszej, bezpiecznej wersji, jeśli jest dostępna. W przypadku braku łatki zaleca się ograniczenie dostępu administratorów, monitorowanie logów pod kątem podejrzanej aktywności oraz weryfikację konfiguracji multisite i ustawień unfiltered_html. Priorytetem jest szybka reakcja na potencjalne próby wykorzystania luki.

Źródła

• NVD
• Reference
• Reference