CVE-2024-13848: podatność Stored XSS w wtyczce Reaction Buttons dla WordPress

Co wiadomo

Wtyczka Reaction Buttons dla WordPress do wersji 2.1.6 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża integralności i poufności danych oraz może skutkować przejęciem sesji lub eskalacją uprawnień. Operatorzy powinni zwrócić szczególną uwagę na instalacje WordPress z tą wtyczką w środowiskach wielostanowiskowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Reaction Buttons u dostawcy oraz ich wdrożenie. W międzyczasie ograniczyć dostęp do panelu administratora tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite. Przegląd i weryfikacja ustawień unfiltered_html również jest wskazana.

Źródła

• NVD
• Reference
• Reference