Analityczne wykorzystywanie plików cookies
CVE-2024-12679: podatność w wtyczce Prisna GWT WordPress
Opis podatności CVE-2024-12679 w wtyczce Prisna GWT WordPress umożliwiającej ataki Stored XSS. Zalecane aktualizacje i działania zabezpieczające.
- CVSS
- 4.8 MEDIUM
- EPSS
- 18.31%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- google website translator
Co wiadomo
Wtyczka Prisna GWT WordPress w wersjach przed 1.4.14 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracji multisite.
Wpływ biznesowy
Atak typu Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ może wpłynąć na wiele stron. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli korzystają z wtyczki Prisna GWT w wersjach podatnych.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Prisna GWT do wersji 1.4.14 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo należy przeglądnąć konfigurację multisite i rozważyć tymczasowe wyłączenie funkcji, które mogą być narażone na atak.