Analityczne wykorzystywanie plików cookies
CVE-2024-1712: luka XSS w wtyczce Carousel Slider dla WordPress
Wtyczka Carousel Slider przed 2.2.7 umożliwia ataki Stored XSS przez administratorów, nawet bez unfiltered_html. Zalecana aktualizacja.
- CVSS
- 4.7 MEDIUM
- EPSS
- 38.93%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- carousel slider
Co wiadomo
Wtyczka Carousel Slider dla WordPress w wersjach przed 2.2.7 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.
Wpływ biznesowy
Luka ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko nadal występuje, co zwiększa potencjalne zagrożenie dla bezpieczeństwa CMS i danych.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Carousel Slider do wersji 2.2.7 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo należy przeglądać i weryfikować ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości.