CVE-2024-2296: podatność XSS w wtyczce Photo Gallery by 10Web dla WordPress

Co wiadomo

Wtyczka Photo Gallery by 10Web do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG w wersjach do 1.8.21 włącznie. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono unfiltered_html, umożliwiając administratorom wstrzykiwanie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala atakującym z uprawnieniami administratora na wstrzyknięcie i wykonanie złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia kontroli nad stroną lub wycieku danych. Zagrożenie dotyczy głównie instalacji multisite oraz środowisk z wyłączoną opcją unfiltered_html, co wymaga szczególnej uwagi właścicieli takich systemów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Photo Gallery by 10Web i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG. Warto również zweryfikować konfigurację multisite i ustawienia unfiltered_html.

Źródła

• NVD
• Reference
• Reference
• Reference