Analityczne wykorzystywanie plików cookies
CVE-2024-5472: podatność Stored XSS w wtyczce WP QuickLaTeX
Wtyczka WP QuickLaTeX przed 3.8.7 umożliwia ataki Stored XSS przez administratorów, nawet przy wyłączonym unfiltered_html. Aktualizuj wtyczkę natychmiast.
- CVSS
- 7.1 HIGH
- EPSS
- 35.35%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp quicklatex
Co wiadomo
Wtyczka WP QuickLaTeX dla WordPressa w wersjach przed 3.8.7 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki administratora lub innych użytkowników z wysokimi uprawnieniami, co zagraża integralności i bezpieczeństwu witryny WordPress. Atakujący mogą wykorzystać tę lukę do przejęcia sesji, manipulacji danymi lub eskalacji uprawnień, co stanowi poważne ryzyko dla infrastruktury IT i danych firmowych.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie wtyczki WP QuickLaTeX do wersji 3.8.7 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, ogranicz dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj konfigurację multisite pod kątem uprawnień unfiltered_html i rozważ dodatkowe mechanizmy filtrowania treści.