CVE-2024-5799: luka XSS w wtyczce CM Pop-Up Banners dla WordPress

Co wiadomo

Wtyczka CM Pop-Up Banners dla WordPress w wersjach przed 1.7.3 nie sanitizuje i nie zabezpiecza niektórych pól wyskakujących okienek, co umożliwia użytkownikom z wysokimi uprawnieniami, np. Kontrybutorom, przeprowadzenie ataków Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka XSS może zostać wykorzystana przez użytkowników z uprawnieniami do wstrzyknięcia złośliwego kodu, co zagraża bezpieczeństwu witryny i jej użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań naruszających integralność i poufność systemu. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami użytkowników i podatnością wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki CM Pop-Up Banners do wersji 1.7.3 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i szybkie wdrażanie poprawek są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference