Analityczne wykorzystywanie plików cookies
CVE-2024-4899: Luka XSS w wtyczce SEOPress dla WordPress
Wtyczka SEOPress przed wersją 7.8 umożliwia ataki Stored XSS przez użytkowników z uprawnieniami współautora. Zalecana aktualizacja.
- CVSS
- 5.0 MEDIUM
- EPSS
- 26.16%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- seopress
Co wiadomo
Wtyczka SEOPress dla WordPress w wersjach przed 7.8 nie sanitizuje i nie ucieka poprawnie niektórych ustawień postów, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak współautor, przeprowadzenie ataku typu Stored Cross-Site Scripting (XSS).
Wpływ biznesowy
Atak XSS może pozwolić na wstrzyknięcie złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. W przypadku środowisk CMS z wieloma użytkownikami o różnych poziomach uprawnień, luka ta może zostać wykorzystana przez użytkowników z uprawnieniami współautora do eskalacji ataku. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających integralność i poufność danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie wtyczki SEOPress do wersji 7.8 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników do poziomu współautora lub niższego oraz monitoruj logi pod kątem podejrzanej aktywności. Regularnie przeglądaj i audytuj uprawnienia użytkowników oraz stosuj zasady minimalnych uprawnień.