CVE-2024-13493: luka XSS w wtyczce Sensly Online Presence dla WordPress

Co wiadomo

Wtyczka Sensly Online Presence do WordPressa w wersjach do 0.6 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzyknąć złośliwy kod JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko nadal występuje, co utrudnia ochronę przed tym zagrożeniem.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Sensly Online Presence u dostawcy tommietott oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy rozważyć przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wtyczek WordPress.

Źródła

• NVD
• Reference