Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Announce from the Dashboard dla WordPress (CVE-2024-3030)
Wtyczka Announce from the Dashboard WordPress do 1.5.2 ma lukę XSS umożliwiającą ataki w instalacjach multisite i z wyłączonym unfiltered_html.
- CVSS
- 4.4 MEDIUM
- EPSS
- 29.1%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Announce from the Dashboard dla WordPress do wersji 1.5.2 zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia kontroli nad stroną lub kradzieży danych użytkowników. Zagrożenie dotyczy głównie instalacji multisite oraz środowisk z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi ze strony operatorów IT.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Announce from the Dashboard do wersji nowszej niż 1.5.2, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp administratorów oraz rozważyć ponowne włączenie filtra unfiltered_html. Dodatkowo warto przejrzeć logi pod kątem podejrzanej aktywności i monitorować system pod kątem nietypowych zachowań.