CVE-2024-5004: luka XSS w wtyczce CM Popup dla WordPress

Co wiadomo

Wtyczka CM Popup dla WordPress w wersjach przed 1.6.6 nie sanitizuje i nie zabezpiecza niektórych ustawień kampanii, co umożliwia użytkownikom z uprawnieniami współautora przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka pozwala na wstrzyknięcie złośliwego kodu przez użytkowników z relatywnie wysokimi uprawnieniami, co może prowadzić do przejęcia sesji lub manipulacji treścią strony. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych użytkowników. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z tą podatnością.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki CM Popup i jej instalację do wersji 1.6.6 lub nowszej. W przypadku braku możliwości aktualizacji, ogranicz uprawnienia użytkowników do minimum oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź audyt konfiguracji kampanii i usuń potencjalnie niebezpieczne wpisy.

Źródła

• NVD
• Reference