CVE-2024-12302: Luka XSS w wtyczce Icegram Engage dla WordPress

Co wiadomo

Wtyczka Icegram Engage dla WordPress w wersjach przed 3.1.32 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia kampanii, co może umożliwić użytkownikom z uprawnieniami autora i wyższymi przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atak XSS może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu witryny oraz danych użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko, zwłaszcza jeśli wtyczka jest używana w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Icegram Engage do wersji 3.1.32 lub nowszej. W przypadku braku możliwości aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeprowadzić przegląd konfiguracji kampanii i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference