CVE-2024-10565: Luka XSS w wtyczce Slider by 10Web dla WordPress

Co wiadomo

Wtyczka Slider by 10Web dla WordPress w wersjach przed 1.2.62 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataków, kradzieży danych lub przejęcia kontroli nad stroną. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla integralności i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Slider by 10Web i jej instalację do wersji 1.2.62 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj konfigurację multisite pod kątem ograniczeń unfiltered_html i rozważ dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference