CVE-2024-0703: podatność Stored XSS w wtyczce Sticky Buttons dla WordPress

Co wiadomo

Wtyczka Sticky Buttons do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w wersjach do 3.2.2 włącznie, z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, przejęciem konta lub innymi atakami na użytkowników i administratorów witryny. Wpływa to na bezpieczeństwo i integralność stron opartych na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybsze przejrzenie i zastosowanie dostępnych aktualizacji wtyczki Sticky Buttons od producenta. W przypadku braku łatki warto ograniczyć dostęp administratorów, zweryfikować ustawienia multisite oraz włączyć filtrowanie unfiltered_html. Dodatkowo należy monitorować logi serwera pod kątem podejrzanej aktywności i priorytetyzować działania naprawcze.

Źródła

• NVD
• Reference
• Reference