CVE-2024-3937: podatność Stored XSS w wtyczce Playlist for Youtube dla WordPress

Co wiadomo

Wtyczka Playlist for Youtube do WordPressa w wersjach do 1.32 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny. Może to skutkować przejęciem sesji, modyfikacją zawartości strony lub eskalacją uprawnień. Operatorzy CMS powinni zwrócić uwagę na tę lukę, szczególnie w środowiskach multisite, gdzie standardowe ograniczenia mogą nie wystarczyć.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Playlist for Youtube u dostawcy info-d-74 i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, przeglądaj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń XSS.

Źródła

• NVD
• Reference