CVE-2024-6070: Luka XSS w wtyczce If-So Dynamic Content Personalization dla WordPress

Co wiadomo

Wtyczka If-So Dynamic Content Personalization dla WordPress w wersjach przed 1.8.0.4 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko nadal występuje, co zwiększa potencjalne zagrożenie dla wielu stron.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki If-So Dynamic Content Personalization do wersji 1.8.0.4 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć dodatkowe mechanizmy filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference