CVE-2024-12808: Luka XSS w wtyczce WP ERP

Co wiadomo

Wtyczka WP ERP do WordPressa w wersjach przed 1.13.4 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla systemu i użytkowników. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż luka działa mimo ograniczeń unfiltered_html. Może to wpłynąć na integralność i bezpieczeństwo danych oraz reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP ERP do wersji 1.13.4 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora, przeglądać logi pod kątem podejrzanej aktywności oraz stosować zasady minimalnych uprawnień. Regularne monitorowanie i audyt konfiguracji multisite również pomoże ograniczyć ryzyko.

Źródła

• NVD
• Reference