CVE-2024-11727: Stored XSS w wtyczce NotificationX dla WordPress

Co wiadomo

Wtyczka NotificationX do WordPressa (wersje do 2.9.3 włącznie) zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach treści powiadomień. Luka pozwala administratorom na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony, dotyczy instalacji multisite i wyłączonej opcji unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Luka wpływa na bezpieczeństwo środowisk multisite i może narazić na ryzyko dane oraz stabilność usług webowych opartych na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki NotificationX u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, zweryfikować konfigurację multisite i ustawienia unfiltered_html, a także monitorować logi pod kątem podejrzanej aktywności. Priorytetowo traktuj audyt i zabezpieczenie środowisk WordPress z zainstalowaną tą wtyczką.

Źródła

• NVD
• Reference
• Reference