CVE-2024-10104: luka XSS w wtyczce Jobs for WordPress

Co wiadomo

Wtyczka Jobs for WordPress w wersjach przed 2.7.8 nie sanitizuje i nie ucieka niektórych ustawień ofert pracy, co umożliwia użytkownikom z wysokimi uprawnieniami, np. współautorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka ta może pozwolić na wykonanie złośliwego kodu w przeglądarce administratorów lub innych użytkowników o wyższych uprawnieniach, co może prowadzić do przejęcia sesji, deface'u strony lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Atakujący z uprawnieniami współautora mogą wykorzystać tę lukę do eskalacji zagrożeń w środowisku WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Jobs for WordPress do wersji 2.7.8 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd i oczyszczenie istniejących wpisów ofert pracy pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference