CVE-2024-13519: Stored XSS w wtyczce MarketKing dla WordPress

Co wiadomo

Wtyczka MarketKing — Ultimate WooCommerce Multivendor Marketplace Solution dla WordPress do wersji 1.9.80 zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach, umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami Shop Managera i wyższymi wstrzyknięcie złośliwych skryptów. Luka dotyczy instalacji multisite oraz tam, gdzie wyłączono filtrację unfiltered_html.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wstrzykiwać i wykonywać złośliwe skrypty w panelu administracyjnym, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań nieautoryzowanych. Zagrożenie to wpływa na bezpieczeństwo i integralność środowisk WordPress z wieloma sklepami oraz na instalacje z wyłączoną filtracją HTML.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MarketKing i ich wdrożenie. W międzyczasie ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć przywrócenie filtrowania unfiltered_html. Priorytetowo traktować audyt i zabezpieczenie środowisk multisite.

Źródła

• NVD
• Reference
• Reference