CVE-2024-12096: podatność Reflected XSS w wtyczce Exhibit to WP Gallery

Co wiadomo

Wtyczka Exhibit to WP Gallery do WordPressa w wersjach do 0.0.2 nie sanitizuje i nie zabezpiecza odpowiednio parametru przed jego wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność ta może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratorów strony, co może prowadzić do przejęcia kontroli nad panelem administracyjnym lub wycieku danych. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym atakiem XSS, zwłaszcza w środowiskach o wysokich uprawnieniach użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Exhibit to WP Gallery u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych aktywności oraz stosować dodatkowe mechanizmy ochrony przed XSS, takie jak Content Security Policy (CSP).

Źródła

• NVD
• Reference