CVE-2024-12628: Stored XSS w wtyczce Easy cache dla WordPress

Co wiadomo

Wtyczka Easy cache dla WordPress do wersji 0.8 włącznie ma lukę Stored Cross-Site Scripting (XSS) w parametrze 'cache-folder'. Luka pozwala administratorom na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony. Dotyczy to instalacji multisite oraz tam, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, manipulacji treścią lub innych działań szkodliwych dla witryny i jej użytkowników. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi właścicieli takich instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy cache i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć włączenie filtra unfiltered_html. Warto także przeprowadzić audyt bezpieczeństwa multisite i wtyczek.

Źródła

• NVD
• Reference
• Reference
• Reference