CVE-2024-4090: Luka XSS w wtyczce my sticky bar dla WordPress

Co wiadomo

Wtyczka my sticky bar do WordPressa w wersjach przed 2.7.2 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków Cross-Site Scripting (XSS), nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych ataków skierowanych na użytkowników i system. Organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne ryzyko naruszenia integralności i bezpieczeństwa swoich serwisów WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki my sticky bar do wersji 2.7.2 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo należy przeglądać konfigurację wtyczki i stosować najlepsze praktyki bezpieczeństwa WordPress.

Źródła

• NVD
• Reference