Analityczne wykorzystywanie plików cookies
CVE-2024-13357: podatność Stored XSS w wtyczce Ditty dla WordPress
Podatność Stored XSS w wtyczce Ditty WordPress przed 3.1.52 pozwala autorom na ataki, nawet przy wyłączonym unfiltered_html. Aktualizuj wtyczkę.
- CVSS
- 4.8 MEDIUM
- EPSS
- 18.31%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ditty
Co wiadomo
Wtyczka Ditty dla WordPress w wersjach przed 3.1.52 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak autor, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Ta luka bezpieczeństwa może pozwolić na wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami autora, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów serwisu. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla wielu witryn jednocześnie.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie wtyczki Ditty do wersji 3.1.52 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, przegląd konfiguracji multisite i polityk bezpieczeństwa może pomóc w ograniczeniu ryzyka.