CVE-2024-10105: podatność w wtyczce Jobs for WordPress

Co wiadomo

Wtyczka Job Postings dla WordPress w wersjach przed 2.7.11 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. współautorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wpływ biznesowy

Ta luka może prowadzić do wykonania złośliwego kodu w przeglądarce administratorów lub innych użytkowników, co zagraża integralności i bezpieczeństwu witryny. Atakujący z uprawnieniami współautora mogą wykorzystać tę podatność do eskalacji ataku, co może skutkować utratą danych lub przejęciem kontroli nad stroną. W środowiskach multisite ryzyko jest szczególnie istotne ze względu na ograniczenia w uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Jobs for WordPress do wersji 2.7.11 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników do ról z wysokimi uprawnieniami oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź przegląd konfiguracji multisite i rozważ dodatkowe zabezpieczenia filtrujące dane wejściowe.

Źródła

• NVD
• Reference