CVE-2024-2470: luka XSS w wtyczce Simple Ajax Chat dla WordPress

Co wiadomo

Wtyczka Simple Ajax Chat dla WordPress w wersjach przed 20240412 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ luka działa mimo ograniczeń unfiltered_html.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Simple Ajax Chat do wersji 20240412 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań związanych z wtyczką. Przegląd konfiguracji i polityk bezpieczeństwa multisite również jest wskazany.

Źródła

• NVD
• Reference