CVE-2024-5561: luka w wtyczce Popup Maker dla WordPress

Co wiadomo

Wtyczka Popup Maker dla WordPress w wersjach przed 1.19.1 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, luka nadal umożliwia eskalację ataku przez użytkowników z wysokimi uprawnieniami. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko naruszenia integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Popup Maker do wersji 1.19.1 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do kont z wysokimi uprawnieniami oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj ustawienia wtyczki, aby minimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference