CVE-2024-10517: luka XSS w wtyczce ProfilePress dla WordPress

Co wiadomo

Wtyczka ProfilePress do WordPressa w wersjach przed 4.15.15 nieprawidłowo oczyszcza i nie zabezpiecza niektórych pól w kreatorze Drag & Drop. Może to umożliwić użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Luka może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. Ataki XSS mogą skutkować kradzieżą sesji, manipulacją treścią lub eskalacją uprawnień. Operatorzy CMS powinni zwrócić uwagę na potencjalne zagrożenia związane z tą podatnością, szczególnie w środowiskach z wieloma użytkownikami i rozbudowanymi uprawnieniami.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki ProfilePress do wersji 4.15.15 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji Drag & Drop Builder tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeglądaj i weryfikuj uprawnienia użytkowników, aby minimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference