CVE-2024-13898: Stored Cross-Site Scripting w wtyczce Simple Banner dla WordPress

Co wiadomo

Wtyczka Simple Banner do WordPressa w wersjach do 3.0.5 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) przez niewystarczającą sanitację i eskapowanie danych w ustawieniach administratora. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, manipulacją zawartością strony lub innymi atakami na użytkowników i administratorów. Zagrożenie jest klasyfikowane jako średnie, ale wymaga uwagi ze względu na poziom uprawnień potrzebny do ataku.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Simple Banner i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanych działań. Warto również zweryfikować konfigurację multisite i ustawienia unfiltered_html, aby zminimalizować ryzyko wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference