CVE-2024-13128: Luka XSS w wtyczce LearnPress dla WordPress

Co wiadomo

Wtyczka LearnPress dla WordPress w wersjach przed 4.2.7.5.1 nie sanitizuje poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet jeśli zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu systemu zarządzania treścią. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ luka omija ograniczenia unfiltered_html. Może to skutkować eskalacją uprawnień lub przejęciem kontroli nad witryną.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LearnPress i ich wdrożenie. W przypadku braku natychmiastowej możliwości aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd konfiguracji uprawnień i rozważ wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference