CVE-2024-10679: luka XSS w wtyczce Quiz and Survey Master dla WordPress

Co wiadomo

Wtyczka Quiz and Survey Master (QSM) dla WordPress w wersjach przed 9.2.1 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i danych użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataku lub przejęcia kontroli nad stroną. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atak może rozprzestrzenić się na wiele witryn.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Quiz and Survey Master do wersji 9.2.1 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i ograniczenie możliwości wprowadzania nieprzefiltrowanego HTML również zwiększy bezpieczeństwo.

Źródła

• NVD
• Reference