CVE-2024-13851: podatność Stored Cross-Site Scripting w wtyczce Modal Portfolio dla WordPress

Co wiadomo

Wtyczka Modal Portfolio dla WordPress do wersji 1.7.4.2 włącznie posiada podatność Stored Cross-Site Scripting z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do przejęcia sesji użytkowników lub wykonania nieautoryzowanych działań w panelu administracyjnym, co stanowi zagrożenie dla integralności i bezpieczeństwa witryny WordPress. Operatorzy powinni zwrócić szczególną uwagę na środowiska wielostanowiskowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Modal Portfolio u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference