CVE-2024-10545: Luka XSS w wtyczce NextGEN Gallery dla WordPress

Co wiadomo

Wtyczka NextGEN Gallery dla WordPress w wersjach przed 3.59.9 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień obrazów, co może umożliwić użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, luka ta nadal może być wykorzystana przez użytkowników z uprawnieniami administracyjnymi, zwiększając ryzyko kompromitacji systemu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki NextGEN Gallery do wersji 3.59.9 lub nowszej udostępnionej przez Imagely. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do kont z wysokimi uprawnieniami oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj ustawienia obrazów, aby ograniczyć potencjalne wektory ataku.

Źródła

• NVD
• Reference