CVE-2024-12770: podatność WP ULike umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka WP ULike dla WordPressa w wersjach przed 4.7.6 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może umożliwić administratorom w środowiskach WordPress wykonanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ atak może rozprzestrzenić się na wiele witryn.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP ULike do wersji 4.7.6 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji multisite i weryfikacja ustawień bezpieczeństwa również są wskazane.

Źródła

• NVD
• Reference