CVE-2024-2656: podatność Stored XSS w wtyczce Email Subscribers by Icegram Express dla WordPress

Co wiadomo

Wtyczka Email Subscribers by Icegram Express do WordPress i WooCommerce jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez import plików CSV w wersjach do 5.7.14 włącznie. Luka dotyczy instalacji multisite oraz tych z wyłączoną opcją unfiltered_html i pozwala administratorom na wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone, ryzyko wykorzystania tej luki jest podwyższone, co może wpłynąć na integralność i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp administratorów do niezbędnego minimum, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie funkcji importu CSV. Przeanalizuj konfigurację multisite i ustawienia unfiltered_html, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference