CVE-2024-13730: luka XSS w wtyczce Podlove Podcast Publisher dla WordPress

Co wiadomo

Wtyczka Podlove Podcast Publisher dla WordPress w wersjach przed 4.2.1 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w środowiskach multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataków lub przejęcia kontroli nad stroną. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż ograniczenia unfiltered_html nie chronią przed tym zagrożeniem.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Podlove Podcast Publisher do wersji 4.2.1 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do kont z wysokimi uprawnieniami, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować i minimalizować ekspozycję witryny na potencjalne ataki XSS.

Źródła

• NVD
• Reference