Analityczne wykorzystywanie plików cookies
CVE-2024-5442: luka w wtyczce NextGEN Gallery dla WordPress
Wtyczka NextGEN Gallery przed 3.59.3 umożliwia ataki Stored XSS przez administratorów. Zalecana aktualizacja i monitoring bezpieczeństwa.
- CVSS
- 5.9 MEDIUM
- EPSS
- 30.14%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- nextgen gallery
Co wiadomo
Wtyczka NextGEN Gallery do WordPressa w wersjach przed 3.59.3 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet jeśli zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.
Wpływ biznesowy
Luka może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu serwisu WordPress. Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad panelem administracyjnym lub do eskalacji uprawnień. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż nawet ograniczenia unfiltered_html nie chronią przed atakiem.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki NextGEN Gallery i jej instalację do wersji 3.59.3 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeprowadzić przegląd konfiguracji uprawnień i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.