CVE-2024-3986: luka XSS w wtyczce SportsPress dla WordPress

Co wiadomo

Wtyczka SportsPress dla WordPress w wersjach przed 2.7.22 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracjach multisite.

Wpływ biznesowy

Luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite, gdzie restrykcje na unfiltered_html są stosowane, ryzyko może być niedoceniane, co zwiększa potencjalne zagrożenie dla całej infrastruktury CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki SportsPress do wersji 2.7.22 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz przejrzeć logi pod kątem podejrzanych działań. Dodatkowo, należy monitorować oficjalne komunikaty producenta oraz stosować ogólne praktyki minimalizacji ekspozycji i zabezpieczeń CMS.

Źródła

• NVD
• Reference