CVE-2024-4942: podatność Stored Cross-Site Scripting w wtyczce Custom Dash dla WordPress

Co wiadomo

Wtyczka Custom Dash dla WordPress do wersji 1.0.2 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do eskalacji ataków XSS na poziomie administratora. Może to skutkować kradzieżą sesji, manipulacją treścią lub innymi działaniami złośliwymi, zagrażając integralności i bezpieczeństwu witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Custom Dash u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć włączenie filtracji unfiltered_html, jeśli to możliwe. Priorytetowo traktuj audyt i zabezpieczenie instalacji multisite.

Źródła

• NVD
• Reference
• Reference