CVE-2024-2189: luka XSS w wtyczce Social Icons Widget dla WordPress

Co wiadomo

Wtyczka Social Icons Widget & Block firmy WPZOOM w wersjach przed 4.2.18 nie sanitizuje i nie zabezpiecza niektórych ustawień widgetu, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w przeglądarce administratora lub innych użytkowników o wysokich uprawnieniach, co zagraża integralności i bezpieczeństwu witryny WordPress. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ atak może obejmować wiele podstron. Niezabezpieczone instalacje mogą skutkować utratą danych lub przejęciem kontroli nad witryną.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i aktualizację wtyczki Social Icons Widget & Block do najnowszej wersji udostępnionej przez WPZOOM. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj ustawienia widgetu pod kątem potencjalnie niebezpiecznych treści.

Źródła

• NVD
• Reference