Analityczne wykorzystywanie plików cookies
CVE-2024-6335: luka XSS w wtyczce Tracking Code Manager dla WordPress
Wtyczka Tracking Code Manager przed 2.3.0 umożliwia ataki Stored XSS przez administratorów. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 24.39%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- tracking code manager
Co wiadomo
Wtyczka Tracking Code Manager dla WordPress w wersjach przed 2.3.0 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html, np. w środowiskach multisite.
Wpływ biznesowy
Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataków, potencjalnie wpływając na integralność i dostępność serwisu. W środowiskach multisite ryzyko jest szczególnie istotne ze względu na ograniczenia w filtrowaniu HTML.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Tracking Code Manager do wersji 2.3.0 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i polityk bezpieczeństwa również może pomóc w ograniczeniu ryzyka.