CVE-2024-3594: podatność Stored XSS w wtyczce IDonate dla WordPress

Co wiadomo

Wtyczka IDonate do WordPressa w wersji do 1.9.0 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn korzystających z wtyczki IDonate, pozwalając na wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami administracyjnymi. Może to prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych, co negatywnie wpływa na reputację i bezpieczeństwo infrastruktury IT.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki IDonate i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników, przegląd logów pod kątem podejrzanej aktywności oraz minimalizację ekspozycji wtyczki. Regularne monitorowanie i audyt bezpieczeństwa są kluczowe dla ograniczenia ryzyka.

Źródła

• NVD
• Reference