Analityczne wykorzystywanie plików cookies
CVE-2024-13119: luka XSS w wtyczce ProfilePress dla WordPress
Luka XSS w ProfilePress przed 4.15.20 pozwala administratorom na ataki Stored XSS. Zalecana aktualizacja wtyczki i monitorowanie bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 26.96%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- profilepress
Co wiadomo
Wtyczka ProfilePress dla WordPress w wersjach przed 4.15.20 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.
Wpływ biznesowy
Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ luka może być wykorzystana mimo ograniczeń w uprawnieniach. Operatorzy IT powinni traktować tę lukę jako średniego ryzyka, zwracając uwagę na potencjalne naruszenia integralności i poufności danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki ProfilePress do wersji 4.15.20 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników o wysokich prawach oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeprowadzić przegląd konfiguracji multisite i rozważyć tymczasowe ograniczenia funkcji unfiltered_html.