CVE-2024-3068: podatność Stored XSS w wtyczce Custom Field Suite dla WordPress

Co wiadomo

Wtyczka Custom Field Suite do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'cfs[fields][*][name]' w wersjach do 2.6.5 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać skrypty, które wykonają się przy odwiedzeniu zainfekowanej strony, co może prowadzić do przejęcia sesji lub innych działań na koncie użytkownika. Może to wpłynąć na integralność i bezpieczeństwo witryny oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom Field Suite i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować i oczyścić istniejące dane w polach niestandardowych oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć tymczasowe ograniczenie dostępu do funkcji edycji pól niestandardowych w środowiskach multisite.

Źródła

• NVD
• Reference
• Reference
• Reference