CVE-2024-10113: podatność Stored XSS w wtyczce WP AdCenter dla WordPress

Co wiadomo

Wtyczka WP AdCenter – Ad Manager & Adsense Ads dla WordPress do wersji 2.5.7 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode wpadcenter_ad. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez odpowiednich zabezpieczeń zwiększa ryzyko naruszenia integralności i bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP AdCenter u dostawcy oraz jej instalację, jeśli jest dostępna. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról współpracownika i wyższych. Należy również przejrzeć logi pod kątem podejrzanych aktywności i rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetowo traktuj aktualizacje i monitoruj środowisko pod kątem nietypowych zachowań.

Źródła

• NVD
• Reference
• Reference
• Reference