CVE-2024-2696: luka XSS w wtyczce swift framework dla WordPress

Co wiadomo

Wtyczka socialdriver-framework dla WordPress w wersjach przed 2024.04.30 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Ta luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych ataków skierowanych do użytkowników witryny. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko nadal występuje, co zwiększa potencjalne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki socialdriver-framework do wersji 2024.04.30 lub nowszej udostępnionej przez producenta swiftideas. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd i weryfikacja ustawień wtyczki oraz audyt bezpieczeństwa multisite mogą dodatkowo zmniejszyć ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference