Analityczne wykorzystywanie plików cookies
CVE-2024-13207: podatność w wtyczce Widget for Social Page Feeds dla WordPress
Podatność XSS w wtyczce WordPress Widget for Social Page Feeds przed wersją 6.4.2 umożliwia ataki nawet przy wyłączonym unfiltered_html. Zalecana aktualizacja.
- CVSS
- 4.8 MEDIUM
- EPSS
- 17.21%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- widget for social page feeds
Co wiadomo
Wtyczka Widget for Social Page Feeds w wersjach przed 6.4.2 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny WordPress. Ataki XSS mogą skutkować przejęciem sesji, modyfikacją zawartości strony lub eskalacją uprawnień. Operatorzy CMS powinni zwrócić szczególną uwagę na wtyczki zarządzające treściami społecznościowymi, zwłaszcza w środowiskach multisite.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Widget for Social Page Feeds do wersji 6.4.2 lub nowszej udostępnionej przez autora. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych aktywności. Dodatkowo należy przeglądać i weryfikować ustawienia wtyczki pod kątem potencjalnie niebezpiecznych danych wejściowych.