CVE-2024-1660: luka XSS w wtyczce Top Bar WordPress

Co wiadomo

Wtyczka Top Bar dla WordPress w wersjach przed 3.0.5 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka ta nadal pozwala na eskalację ataku, zwiększając ryzyko kompromitacji. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w instalacjach z wieloma użytkownikami o wysokich uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Top Bar do wersji 3.0.5 lub nowszej, gdzie problem został załatany. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto przeglądnąć konfigurację multisite i rozważyć dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference