CVE-2024-0973: podatność XSS w wtyczce Widget for Social Page Feeds dla WordPress

Co wiadomo

Wtyczka Widget for Social Page Feeds w wersjach przed 6.4 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny WordPress. Atakujący z uprawnieniami administratora mogą wykorzystać lukę do eskalacji ataków, kradzieży danych lub przejęcia kontroli nad stroną. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko nadal występuje, co utrudnia ochronę.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Widget for Social Page Feeds do wersji 6.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do wtyczki tylko do zaufanych administratorów, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń XSS. Regularnie przeglądaj i aktualizuj polityki bezpieczeństwa WordPressa.

Źródła

• NVD
• Reference