CVE-2024-10472: podatność Stored XSS w wtyczce Stylish Price List dla WordPress

Co wiadomo

Wtyczka Stylish Price List dla WordPress w wersjach przed 7.1.12 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. współautorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami współautora mogą wstrzykiwać złośliwy kod JavaScript, co może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. W środowiskach multisite ryzyko jest podwyższone, ponieważ standardowe ograniczenia unfiltered_html mogą nie chronić przed tym atakiem. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Stylish Price List do wersji 7.1.12 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd konfiguracji multisite i weryfikację polityk bezpieczeństwa dotyczących uprawnień użytkowników.

Źródła

• NVD
• Reference