CVE-2024-5026: luka XSS w wtyczce CM Tooltip Glossary dla WordPress

Co wiadomo

Wtyczka CM Tooltip Glossary dla WordPress w wersjach przed 4.3.4 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych ataków na użytkowników i infrastrukturę. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko może być niedostatecznie kontrolowane. Operatorzy CMS powinni zweryfikować użycie tej wtyczki i ocenić potencjalne ryzyko dla swoich systemów.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki CM Tooltip Glossary do wersji 4.3.4 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeglądaj i weryfikuj ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości oraz rozważ wdrożenie dodatkowych mechanizmów filtrowania i sanitizacji danych.

Źródła

• NVD
• Reference