CVE-2024-11924: Luka XSS w wtyczce Icegram Express dla WordPress

Co wiadomo

Wtyczka Icegram Express (dawniej Email Subscribers) w wersjach przed 5.7.52 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i infrastruktury. Choć ocena CVSS wskazuje na niskie ryzyko, organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne zagrożenia związane z bezpieczeństwem CMS.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Icegram Express do wersji 5.7.52 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy regularnie przeglądać ustawienia wtyczki i środowiska WordPress, aby minimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference