Analityczne wykorzystywanie plików cookies
CVE-2024-5968: Luka XSS w wtyczce Photo Gallery od 10Web
Wtyczka Photo Gallery 10Web przed 1.8.28 narażona na Stored XSS, umożliwiający ataki nawet przy wyłączonym unfiltered_html. Aktualizuj i zabezpieczaj CMS.
- CVSS
- 4.8 MEDIUM
- EPSS
- 27.44%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- photo gallery
Co wiadomo
Wtyczka Photo Gallery od 10Web w wersjach przed 1.8.28 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia galerii, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków Stored Cross-Site Scripting (XSS), nawet jeśli zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.
Wpływ biznesowy
Atak Stored XSS może pozwolić administratorom na wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka ta nadal stanowi ryzyko, co wymaga uwagi zespołów IT i właścicieli infrastruktury.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Photo Gallery do wersji 1.8.28 lub nowszej udostępnionej przez 10Web. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeprowadzić przegląd konfiguracji multisite i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.