CVE-2024-2972: podatność XSS w wtyczce Floating Chat Widget dla WordPress

Co wiadomo

Wtyczka Floating Chat Widget dla WordPress w wersjach przed 3.1.9 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Podatność może pozwolić na wstrzyknięcie złośliwego kodu JavaScript przez administratorów, co w środowiskach multisite ograniczających unfiltered_html może prowadzić do niezamierzonych skutków bezpieczeństwa. Choć ocena CVSS wskazuje na niskie ryzyko, organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne zagrożenia związane z eskalacją uprawnień i atakami XSS, które mogą wpływać na integralność i poufność danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Floating Chat Widget do wersji 3.1.9 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeglądnąć konfigurację multisite i uprawnienia użytkowników, aby zminimalizować ryzyko wykorzystania podatności.

Źródła

• NVD
• Reference