CVE-2024-13116: luka XSS w wtyczce Crelly Slider dla WordPress

Co wiadomo

Wtyczka Crelly Slider w wersjach przed 1.4.7 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych ataków na użytkowników i system. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko może być niedostatecznie kontrolowane. Operatorzy CMS powinni zwrócić uwagę na tę lukę, aby uniknąć potencjalnych naruszeń bezpieczeństwa i utraty zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Crelly Slider do wersji 1.4.7 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, przegląd konfiguracji multisite i polityk bezpieczeństwa może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference