CVE-2024-4002: podatność XSS w wtyczce Carousel, Slider, Gallery by WP Carousel

Co wiadomo

Wtyczka WordPress Carousel, Slider, Gallery by WP Carousel w wersjach przed 2.6.9 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko jest szczególnie istotne. Choć CVSS wskazuje niską wagę, organizacje powinny traktować tę podatność poważnie ze względu na potencjalne skutki dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji 2.6.9 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp administratorów do niezbędnego minimum, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń XSS. Regularnie przeglądaj i aktualizuj polityki bezpieczeństwa w środowisku WordPress, zwłaszcza w konfiguracjach multisite.

Źródła

• NVD
• Reference