CVE-2024-1588: luka XSS w wtyczce SendPress dla WordPress

Co wiadomo

Wtyczka SendPress Newsletters do WordPressa w wersjach do 1.23.11.6 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje, co zwiększa potencjalne zagrożenie dla integralności i bezpieczeństwa witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki SendPress do najnowszej dostępnej wersji, w której luka została załatana. W przypadku braku natychmiastowej możliwości aktualizacji, ogranicz dostęp do panelu administratora tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ dodatkowe mechanizmy filtrowania i walidacji danych wprowadzanych w ustawieniach wtyczki.

Źródła

• NVD
• Reference