CVE-2024-6393: luka XSS w wtyczce NextGEN Gallery dla WordPress

Co wiadomo

Wtyczka NextGEN Gallery do WordPressa w wersjach przed 3.59.5 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień obrazów, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataku, kradzieży danych lub przejęcia kontroli nad stroną. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż ograniczenia unfiltered_html nie chronią przed tym atakiem.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki NextGEN Gallery do wersji 3.59.5 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji zabezpieczeń WordPressa i stosowanie zasad minimalnych uprawnień również pomoże ograniczyć ryzyko.

Źródła

• NVD
• Reference