CVE-2024-2907: podatność Stored XSS w wtyczce Absolutely Glamorous Custom Admin

Co wiadomo

Wtyczka Absolutely Glamorous Custom Admin (AGCA) dla WordPressa w wersjach przed 7.2.2 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Ta luka pozwala na wstrzyknięcie złośliwego kodu JavaScript przez administratorów, co może prowadzić do eskalacji ataków na witrynę lub użytkowników. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje, co może wpłynąć na integralność i bezpieczeństwo danych oraz reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Absolutely Glamorous Custom Admin do wersji 7.2.2 lub nowszej. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i polityk bezpieczeństwa również jest wskazany, aby zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference