CVE-2024-1664: luka XSS w wtyczce Responsive Gallery Grid dla WordPress

Co wiadomo

Wtyczka Responsive Gallery Grid dla WordPress w wersjach przed 2.3.11 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny. Może to skutkować przejęciem sesji, zmianą ustawień lub dalszym rozprzestrzenianiem złośliwego oprogramowania. Operatorzy CMS powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami i wysokimi uprawnieniami.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Responsive Gallery Grid do wersji 2.3.11 lub nowszej, jeśli jest dostępna. W przypadku braku natychmiastowej aktualizacji warto ograniczyć dostęp do panelu administracyjnego, przejrzeć logi pod kątem podejrzanych działań oraz zweryfikować uprawnienia użytkowników. Regularne monitorowanie i stosowanie najlepszych praktyk bezpieczeństwa CMS jest kluczowe.

Źródła

• NVD
• Reference