CVE-2024-11141: podatność w wtyczce Sailthru Triggermail dla WordPress

Co wiadomo

Wtyczka Sailthru Triggermail do WordPressa w wersji do 1.1 nie sanitizuje i nie zabezpiecza niektórych ustawień oraz brak jej ochrony przed CSRF. Może to umożliwić subskrybentom przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu użytkowników i integralności serwisu. Ataki XSS mogą skutkować kradzieżą sesji, manipulacją treścią lub dalszymi atakami na infrastrukturę. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Sailthru Triggermail u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp subskrybentów do funkcji edycji ustawień oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy rozważyć wdrożenie mechanizmów ochrony przed CSRF i przegląd uprawnień użytkowników w środowisku WordPress.

Źródła

• NVD
• Reference