CVE-2024-13585: podatność XSS w wtyczce Ajax Search Lite dla WordPress

Co wiadomo

Wtyczka Ajax Search Lite dla WordPress w wersjach przed 4.12.5 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub dalszych ataków na użytkowników. Choć ocena CVSS wskazuje na niskie ryzyko, w środowiskach o wysokich wymaganiach bezpieczeństwa luka ta może stanowić istotne zagrożenie dla integralności i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Ajax Search Lite do wersji 4.12.5 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference