Analityczne wykorzystywanie plików cookies
CVE-2024-10555: Luka w wtyczce MaxButtons dla WordPress
Wtyczka MaxButtons przed 9.8.1 umożliwia ataki Stored XSS przez administratorów. Zalecana aktualizacja i monitoring bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 25.15%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- maxbuttons
Co wiadomo
Wtyczka MaxButtons dla WordPress w wersjach przed 9.8.1 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko jest szczególnie istotne, ponieważ standardowe ograniczenia bezpieczeństwa mogą nie chronić przed tym atakiem.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie wtyczki MaxButtons do wersji 9.8.1 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań związanych z wtyczką. Ponadto, należy przeprowadzić przegląd konfiguracji multisite i rozważyć dodatkowe mechanizmy zabezpieczeń przed XSS.