Analityczne wykorzystywanie plików cookies
CVE-2024-13486: luka XSS w wtyczce Icegram Engage dla WordPress
Wtyczka Icegram Engage przed 3.1.32 umożliwia ataki XSS przez administratorów. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 18.31%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- icegram engage
Co wiadomo
Wtyczka Icegram Engage dla WordPress w wersjach przed 3.1.32 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, wykonanie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.
Wpływ biznesowy
Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript przez uprawnionych użytkowników, co zagraża bezpieczeństwu witryny i jej użytkowników. Ataki XSS mogą skutkować kradzieżą danych sesji, manipulacją treścią strony lub eskalacją uprawnień. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko w środowiskach z wieloma użytkownikami i ograniczonymi uprawnieniami.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Icegram Engage do wersji 3.1.32 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Regularne przeglądy i testy bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.