CVE-2024-5172: luka XSS w wtyczce Expert Invoice dla WordPress

Co wiadomo

Wtyczka Expert Invoice do WordPress w wersjach do 1.0.2 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub dalszych ataków na użytkowników i infrastrukturę. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, luka nadal pozostaje aktywna, zwiększając ryzyko naruszenia bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Expert Invoice i ich zastosowanie. W przypadku braku łatki, ogranicz dostęp do wtyczki tylko do zaufanych administratorów, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie wtyczki w środowiskach krytycznych. Regularnie przeglądaj uprawnienia użytkowników i stosuj zasady minimalnych uprawnień.

Źródła

• NVD
• Reference