CVE-2024-2846: Stored XSS w wtyczce Visual Footer Credit Remover dla WordPress

Co wiadomo

Wtyczka Visual Footer Credit Remover dla WordPress do wersji 2 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) poprzez parametr 'selector'. Luka umożliwia administratorom wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków w środowiskach wielostanowiskowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Visual Footer Credit Remover i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować i monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite lub tam, gdzie unfiltered_html jest wyłączone. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference