CVE-2024-12717: podatność Stored XSS w wtyczce Aklamator INfeed dla WordPress

Co wiadomo

Wtyczka Aklamator INfeed do WordPressa w wersji do 2.0.0 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Ta podatność może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać lukę do eskalacji ataków XSS, potencjalnie wpływając na integralność i poufność danych. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż ograniczenia unfiltered_html nie chronią przed tym atakiem.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Aklamator INfeed i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto także rozważyć tymczasowe wyłączenie wtyczki w środowiskach krytycznych oraz przeprowadzić audyt bezpieczeństwa konfiguracji multisite.

Źródła

• NVD
• Reference