CVE-2024-4419: podatność Stored Cross-Site Scripting w wtyczce Fetch JFT dla WordPress

Co wiadomo

Wtyczka Fetch JFT dla WordPress do wersji 1.8.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zmodyfikowanej strony. Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora w środowiskach multisite lub z wyłączonym filtrem unfiltered_html wstrzyknięcie i wykonanie złośliwych skryptów, co może prowadzić do przejęcia sesji użytkowników, manipulacji treścią lub eskalacji uprawnień. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko naruszenia integralności i bezpieczeństwa danych w swoich instalacjach WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Fetch JFT u dostawcy oraz jej wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować konfigurację multisite i ustawienia unfiltered_html, a także monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt bezpieczeństwa i rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference