CVE-2024-2657: Stored Cross-Site Scripting w wtyczce Font Farsi dla WordPress

Co wiadomo

Wtyczka Font Farsi dla WordPress do wersji 1.6.6 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) przez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do eskalacji ataków na użytkowników i administratorów poprzez wykonanie nieautoryzowanego kodu w przeglądarce. Może to skutkować kradzieżą sesji, manipulacją zawartością strony lub innymi działaniami szkodliwymi dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Font Farsi i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować konfigurację multisite oraz ustawienia unfiltered_html. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanych działań i monitorować system pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference