CVE-2024-6165: luka XSS w wtyczce WANotifier dla WordPress

Co wiadomo

Wtyczka WANotifier dla WordPress w wersjach przed 2.6.1 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka może umożliwić administratorom w środowisku WordPress wstrzyknięcie złośliwego kodu, co zagraża integralności i bezpieczeństwu witryny. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, atak nadal jest możliwy, co zwiększa ryzyko eskalacji zagrożeń i potencjalnych naruszeń danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WANotifier do wersji 2.6.1 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości aktualizacji, ogranicz dostęp administratorów i monitoruj logi pod kątem podejrzanych działań. Przeglądaj ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości oraz stosuj zasady minimalnych uprawnień.

Źródła

• NVD
• Reference