CVE-2024-13384: Luka XSS w wtyczce robo gallery dla WordPress

Co wiadomo

Wtyczka robo gallery do WordPressa w wersjach przed 3.2.24 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje, co zwiększa potencjalny wpływ na infrastrukturę IT i użytkowników końcowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki robo gallery do wersji 3.2.24 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd konfiguracji zabezpieczeń multisite. Priorytetowo traktuj wdrożenie poprawek i minimalizację ekspozycji na ataki XSS.

Źródła

• NVD
• Reference