CVE-2024-10566: Luka XSS w wtyczce Slider by 10Web dla WordPress

Co wiadomo

Wtyczka Slider by 10Web dla WordPress w wersjach przed 1.2.62 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ luka omija standardowe ograniczenia uprawnień. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, wymagającą szybkiej reakcji w celu ochrony integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Slider by 10Web i jej instalację do wersji 1.2.62 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administratora oraz monitoruj logi pod kątem podejrzanych aktywności. Przeanalizuj konfigurację multisite pod kątem uprawnień unfiltered_html i rozważ ich dodatkowe ograniczenia.

Źródła

• NVD
• Reference