CVE-2024-4957: luka XSS w wtyczce Frontend Checklist dla WordPress

Co wiadomo

Wtyczka Frontend Checklist do WordPressa w wersjach do 2.3.2 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka ta nadal umożliwia ataki XSS, co zwiększa ryzyko naruszenia bezpieczeństwa i wpływa na integralność oraz dostępność witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Frontend Checklist i ich wdrożenie. W przypadku braku natychmiastowej poprawki, ogranicz dostęp do wtyczki tylko do zaufanych administratorów, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ tymczasowe wyłączenie wtyczki w środowiskach o podwyższonym ryzyku. Regularnie przeglądaj uprawnienia użytkowników i stosuj zasady minimalnych uprawnień.

Źródła

• NVD
• Reference