CVE-2024-0904: podatność w wtyczce Fancy Product Designer dla WordPress

Co wiadomo

Wtyczka Fancy Product Designer dla WordPress w wersjach przed 6.1.81 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny oraz danych. Ataki XSS mogą skutkować przejęciem sesji, zmianą ustawień lub dalszym rozprzestrzenianiem złośliwego kodu. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami użytkowników i zabezpieczeniem środowiska.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Fancy Product Designer do wersji 6.1.81 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanych aktywności. Przegląd konfiguracji multisite i uprawnień unfiltered_html również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference