CVE-2024-6617: luka XSS w wtyczce NinjaTeam Header Footer Custom Code

Co wiadomo

Wtyczka WordPress NinjaTeam Header Footer Custom Code w wersjach przed 1.2 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataku, kradzieży danych lub przejęcia sesji. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne, co wymaga uwagi zespołów IT i właścicieli infrastruktury.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki NinjaTeam Header Footer Custom Code do wersji 1.2 lub nowszej, jeśli jest dostępna. W przypadku braku natychmiastowej aktualizacji, ogranicz dostęp do funkcji edycji kodu tylko do zaufanych administratorów, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowych.

Źródła

• NVD
• Reference