CVE-2024-6447: Stored Cross-Site Scripting w wtyczce FULL – Cliente dla WordPress

Co wiadomo

Wtyczka FULL – Cliente dla WordPress do wersji 3.1.12 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr planu licencji. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiednich kontroli uprawnień, co umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwego skryptu wykonywanego w panelu administracyjnym.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonania złośliwego kodu w kontekście konta administratora WordPress, co może prowadzić do przejęcia kontroli nad witryną, kradzieży danych lub dalszej eskalacji uprawnień. Zagrożenie jest szczególnie istotne dla właścicieli stron korzystających z tej wtyczki, którzy powinni pilnie zweryfikować swoje środowisko pod kątem tej podatności.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki FULL – Cliente u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt uprawnień użytkowników. W przypadku braku natychmiastowej aktualizacji, rozważ tymczasowe wyłączenie wtyczki lub zastosowanie reguł blokujących podejrzane żądania.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference