CVE-2024-10080: podatność WP Easy Post Types na Stored Cross-Site Scripting

Co wiadomo

Wtyczka WP Easy Post Types dla WordPressa do wersji 1.4.4 włącznie posiada lukę typu Stored Cross-Site Scripting (XSS) w metadanych wpisów, wynikającą z niewystarczającej sanitacji i escapingu danych użytkownika. Umożliwia to atakującym z uprawnieniami co najmniej współautora wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka ta może prowadzić do przejęcia sesji użytkowników, defacementu stron lub innych działań szkodliwych, co wpływa na bezpieczeństwo i reputację serwisu opartego na WordPress. Administratorzy powinni traktować tę podatność jako istotne zagrożenie, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Easy Post Types i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference