CVE-2024-3635: luka wtyczki The Post Grid umożliwiająca ataki XSS

Co wiadomo

Wtyczka The Post Grid dla WordPressa w wersjach przed 7.5.0 nie sanitizuje i nie ucieka niektórych ustawień siatki, co pozwala użytkownikom z wysokimi uprawnieniami (Editor i wyżej) na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący z uprawnieniami edytora lub wyższymi mogą wykorzystać tę podatność do eskalacji ataków, wpływając na integralność i poufność danych. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż ograniczenia unfiltered_html nie chronią przed tym atakiem.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki The Post Grid do wersji 7.5.0 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji multisite i polityk bezpieczeństwa również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference