CVE-2024-10143: luka XSS w wtyczce MB Custom Post Types & Custom Taxonomies dla WordPress

Co wiadomo

Wtyczka MB Custom Post Types & Custom Taxonomies dla WordPress w wersjach przed 2.7.7 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. Może to skutkować przejęciem sesji, modyfikacją zawartości strony lub eskalacją uprawnień. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko w środowiskach z wieloma użytkownikami i ograniczonymi uprawnieniami.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki MB Custom Post Types & Custom Taxonomies do wersji 2.7.7 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeglądnąć konfigurację multisite i rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference