Analityczne wykorzystywanie plików cookies
CVE-2024-10793: podatność Stored XSS w wtyczce WP Activity Log
Wtyczka WP Activity Log do WordPress ma podatność Stored XSS umożliwiającą ataki na administratorów. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 7.2 HIGH
- EPSS
- 67.32%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp activity log
Co wiadomo
Wtyczka WP Activity Log dla WordPressa do wersji 5.2.1 włącznie posiada podatność typu Stored Cross-Site Scripting (XSS) poprzez parametr user_id. Niewystarczająca sanitacja i eskapowanie danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin strony przez administratora.
Wpływ biznesowy
Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z WP Activity Log, ponieważ umożliwia zdalne wykonanie złośliwego kodu w kontekście przeglądarki administratora. Może to prowadzić do przejęcia kontroli nad panelem administracyjnym, wycieku danych lub dalszych ataków na infrastrukturę. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podejść do jej zaadresowania.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Activity Log u dostawcy oraz ich szybkie wdrożenie. W przypadku braku natychmiastowej poprawki warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych aktywności oraz stosować dodatkowe mechanizmy zabezpieczające przed XSS. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.