CVE-2024-5578: luka XSS w wtyczce Table of Contents Plus dla WordPress

Co wiadomo

Wtyczka Table of Contents Plus dla WordPress do wersji 2408 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak redaktorzy, na przeprowadzenie ataków Cross-Site Scripting, nawet gdy filtr unfiltered_html jest wyłączony.

Wpływ biznesowy

Atakujący z uprawnieniami redaktora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach, gdzie redaktorzy mają dostęp do panelu, ryzyko naruszenia bezpieczeństwa i integralności danych wzrasta.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Table of Contents Plus u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników i rozważ zastosowanie dodatkowych mechanizmów filtrowania treści.

Źródła

• NVD
• Reference