CVE-2024-6481: podatność XSS w wtyczce Search & Filter Pro dla WordPress

Co wiadomo

Wtyczka Search & Filter Pro dla WordPress w wersjach przed 2.5.18 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co może pozwolić użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. Operatorzy IT i właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków XSS w środowiskach WordPress korzystających z tej wtyczki, zwłaszcza w konfiguracjach multisite.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Search & Filter Pro do wersji 2.5.18 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przejrzeć konfigurację multisite i rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference