CVE-2024-13748: podatność Stored XSS w wtyczce Ultimate Classified Listings dla WordPress

Co wiadomo

Wtyczka Ultimate Classified Listings dla WordPress do wersji 1.4 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w parametrze Title, wynikającą z niewystarczającej sanitizacji i ucieczki danych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, przejęciem konta lub innymi atakami na użytkowników i administratorów witryny, wpływając negatywnie na bezpieczeństwo i reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultimate Classified Listings u dostawcy oraz ich wdrożenie. W międzyczasie ograniczyć dostęp administratorów do zaufanych osób, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć włączenie filtracji unfiltered_html. Priorytetowo traktować audyt i zabezpieczenie instalacji multisite WordPress.

Źródła

• NVD
• Reference
• Reference