CVE-2024-2401: Wrażliwość Stored XSS w wtyczce Admin Page Spider dla WordPress

Co wiadomo

Wtyczka Admin Page Spider dla WordPress do wersji 3.31 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zmodyfikowanej strony.

Wpływ biznesowy

Podatność dotyczy instalacji WordPress w trybie multi-site oraz tam, gdzie wyłączono filtrację unfiltered_html. Może to prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża integralności i bezpieczeństwu witryny oraz danych. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataku i utraty kontroli nad stroną.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Admin Page Spider i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora, zweryfikować logi pod kątem podejrzanych działań oraz rozważyć włączenie filtracji unfiltered_html. Priorytetem jest minimalizacja ekspozycji i monitorowanie środowiska.

Źródła

• NVD
• Reference
• Reference
• Reference