CVE-2024-3644: podatność XSS w wtyczce Newsletter Popup dla WordPress

Co wiadomo

Wtyczka Newsletter Popup do WordPressa w wersjach do 1.2 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzyknąć złośliwy kod JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla bezpieczeństwa i integralności serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Newsletter Popup u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i ochrony przed XSS. Priorytetowo traktuj audyt i zabezpieczenie środowisk multisite.

Źródła

• NVD
• Reference