CVE-2024-11190: podatność Stored XSS w wtyczce jwp-a11y dla WordPress

Co wiadomo

Wtyczka jwp-a11y do WordPressa w wersjach do 4.1.7 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny oraz danych. Atakujący z uprawnieniami administratora mogą wykorzystać lukę do eskalacji ataków lub trwałego osadzenia złośliwego skryptu. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż może wpływać na wiele witryn jednocześnie.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki jwp-a11y i zaktualizować ją do najnowszej dostępnej wersji pochodzącej od dostawcy. W przypadku braku dostępnej poprawki zaleca się ograniczenie uprawnień użytkowników oraz monitorowanie logów pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd konfiguracji multisite i rozważyć wprowadzenie dodatkowych mechanizmów filtrowania treści.

Źródła

• NVD
• Reference