Analityczne wykorzystywanie plików cookies
CVE-2024-13602: Luka XSS w wtyczce Poll Maker dla WordPress
Wtyczka Poll Maker przed 5.5.4 umożliwia ataki Stored XSS przez administratorów, nawet przy wyłączonym unfiltered_html. Aktualizuj wtyczkę.
- CVSS
- 4.8 MEDIUM
- EPSS
- 16%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- poll maker
Co wiadomo
Wtyczka Poll Maker dla WordPress w wersjach przed 5.5.4 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.
Wpływ biznesowy
Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny oraz danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle ograniczone, luka ta umożliwia obejście tych zabezpieczeń, zwiększając ryzyko nadużyć i potencjalnych incydentów bezpieczeństwa.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Poll Maker do wersji 5.5.4 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeglądać konfigurację multisite pod kątem potencjalnych luk. Regularne przeglądy i szybkie wdrażanie poprawek są kluczowe dla minimalizacji ryzyka.