Analityczne wykorzystywanie plików cookies
CVE-2024-4755: podatność Google CSE WordPress plugin
Podatność Stored XSS w Google CSE WordPress plugin do 1.0.7 pozwala administratorom na ataki nawet bez unfiltered_html. Zalecane aktualizacje i monitorowanie.
- CVSS
- 4.8 MEDIUM
- EPSS
- 17.08%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- google cse
Co wiadomo
Wtyczka Google CSE dla WordPress w wersjach do 1.0.7 nie sanitizuje i nie ucieka niektórych ustawień, co może pozwolić użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Podatność ta może umożliwić atakującym z uprawnieniami administratora wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atak może rozprzestrzenić się na wiele podstron.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Google CSE i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach krytycznych. Regularne przeglądy uprawnień użytkowników i stosowanie zasad minimalnych uprawnień również pomogą ograniczyć ryzyko.