CVE-2024-13901: podatność DOM-Based Stored XSS w wtyczce Counter Box dla WordPress

Co wiadomo

Wtyczka Counter Box dla WordPress do wersji 2.0.6 włącznie zawiera podatność DOM-Based Stored Cross-Site Scripting (XSS) przez parametr 'content' z powodu niewystarczającej sanitacji i ucieczki danych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zmodyfikowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz środowisk, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, przejęciem konta administratora lub innymi atakami na użytkowników i infrastrukturę. Warto ocenić ryzyko w środowiskach korzystających z tej wtyczki i podjąć odpowiednie działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Counter Box u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora, zweryfikować i monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie wyłączono unfiltered_html. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference