CVE-2024-2872: luka XSS w wtyczce socialdriver-framework dla WordPress

Co wiadomo

Wtyczka socialdriver-framework dla WordPress w wersjach przed 2024.04.30 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. współautorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka pozwala na wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współautora, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko jest nadal obecne, co zwiększa zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki socialdriver-framework do wersji 2024.04.30 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji multisite i polityk uprawnień może pomóc w ograniczeniu potencjalnego ryzyka.

Źródła

• NVD
• Reference