CVE-2024-1106: Luka wtyczki Shariff Wrapper dla WordPress

Co wiadomo

Wtyczka Shariff Wrapper dla WordPress w wersjach przed 4.6.10 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko to jest nadal obecne, co zwiększa zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Shariff Wrapper do wersji 4.6.10 lub nowszej udostępnionej przez dostawcę. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i weryfikacja ustawień bezpieczeństwa również są wskazane.

Źródła

• NVD
• Reference