CVE-2024-3031: Stored Cross-Site Scripting w wtyczce Fluid Notification Bar dla WordPress

Co wiadomo

Wtyczka Fluid Notification Bar do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 3.2.3 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i braków w escapingu wyjścia. Atak wymaga uprawnień administratora i dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi operatorów CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Fluid Notification Bar i ich wdrożenie. W przypadku braku łatki warto ograniczyć uprawnienia administratorów oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto rozważyć ponowne włączenie filtra unfiltered_html, jeśli to możliwe, oraz ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników.

Źródła

• NVD
• Reference
• Reference