CVE-2024-12725: podatność XSS w wtyczce Clasify Classified Listing dla WordPress

Co wiadomo

Wtyczka Clasify Classified Listing do WordPressa w wersjach do 1.0.7 nie sanitizuje i nie ucieka parametrów przed ich wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atak ten może być wykorzystany przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu kont o wysokich uprawnieniach. Może to prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań naruszających integralność i poufność systemu zarządzanego przez WordPress. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Clasify Classified Listing u dostawcy smartdatasoft i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych adresów IP, monitorować logi pod kątem podejrzanych aktywności oraz przeprowadzić przegląd uprawnień użytkowników. Priorytetowo należy zabezpieczyć konta o wysokich uprawnieniach i rozważyć wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference