CVE-2024-4381: podatność Stored XSS w wtyczce commonsbooking dla WordPress

Co wiadomo

Wtyczka CB (legacy) commonsbooking do WordPressa w wersji do 0.9.4.18 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, wykonanie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i systemu. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko jest nadal obecne, co utrudnia ochronę przed atakiem. Operatorzy powinni rozważyć ryzyko wynikające z tej luki w kontekście swoich wdrożeń WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki commonsbooking u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, przegląd konfiguracji multisite i polityk bezpieczeństwa może pomóc w ograniczeniu potencjalnego wpływu tej podatności.

Źródła

• NVD
• Reference