CVE-2024-12566: podatność w wtyczce Email Subscribers & Newsletters dla WordPress

Co wiadomo

Wtyczka Email Subscribers by Icegram Express w wersjach przed 5.7.45 nie sanitizuje i nie zabezpiecza niektórych ustawień formularzy, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i danych użytkowników. Ataki XSS mogą skutkować przejęciem sesji, manipulacją treścią strony lub innymi działaniami szkodliwymi dla reputacji i funkcjonowania serwisu. Operatorzy powinni traktować tę lukę jako istotne ryzyko, zwłaszcza w środowiskach z wieloma użytkownikami o wysokich uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Email Subscribers & Newsletters i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, warto przeprowadzić przegląd konfiguracji zabezpieczeń i rozważyć wdrożenie mechanizmów zapobiegających XSS.

Źródła

• NVD
• Reference