CVE-2024-11183: luka XSS w wtyczce Simple Side Tab dla WordPress

Co wiadomo

Wtyczka Simple Side Tab dla WordPress w wersjach przed 2.2.0 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka ta nadal pozostaje aktywna, zwiększając ryzyko dla właścicieli i operatorów infrastruktury WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Simple Side Tab do wersji 2.2.0 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć dodatkowe mechanizmy filtrowania i sanitizacji danych wprowadzanych przez użytkowników z wysokimi uprawnieniami.

Źródła

• NVD
• Reference