Analityczne wykorzystywanie plików cookies
CVE-2024-10145: luka Stored XSS w wtyczce Social Pug dla WordPress
Wtyczka Social Pug przed 1.34.4 umożliwia ataki Stored XSS przez administratorów. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 18.32%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- social pug
Co wiadomo
Wtyczka Social Pug dla WordPress w wersjach przed 1.34.4 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.
Wpływ biznesowy
Luka ta może pozwolić na wstrzyknięcie złośliwego kodu JavaScript przez administratorów, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne, co wymaga uwagi zespołów IT i administratorów stron.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Social Pug do wersji 1.34.4 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy przeprowadzić przegląd konfiguracji multisite i zweryfikować polityki bezpieczeństwa dotyczące uprawnień i filtrowania treści.