CVE-2024-2837: podatność XSS w wtyczce WP Chat App dla WordPress

Co wiadomo

Wtyczka WP Chat App dla WordPress w wersjach przed 3.6.4 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Cross-Site Scripting, nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i integralności serwisu. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WP Chat App do wersji 3.6.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji, należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd konfiguracji zabezpieczeń WordPress i rozważyć stosowanie mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference