CVE-2024-4977: podatność Reflected XSS w wtyczce Index WP MySQL For Speed

Co wiadomo

Wtyczka WordPress Index WP MySQL For Speed w wersjach przed 1.4.18 nie sanitizuje i nie ucieka parametrów przed ich wyświetleniem, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atak może być wymierzony w użytkowników o wysokich uprawnieniach, takich jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia kontroli nad panelem zarządzania WordPress lub eskalacji uprawnień. W efekcie może to skutkować utratą integralności i poufności danych oraz zakłóceniem działania serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Index WP MySQL For Speed do wersji 1.4.18 lub nowszej, w której podatność została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd zabezpieczeń i stosować zasady minimalnych uprawnień.

Źródła

• NVD
• Reference