CVE-2024-6625: WP Total Branding narażony na przechowywany Cross-Site Scripting

Co wiadomo

Wtyczka WP Total Branding dla WordPressa do wersji 1.2 włącznie zawiera lukę umożliwiającą przechowywany atak Cross-Site Scripting (XSS) poprzez ustawienia administratora. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, pozwalając administratorom na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i infrastruktury. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi operatorów tych instalacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Total Branding i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować i oczyścić ustawienia wtyczki pod kątem podejrzanych skryptów oraz monitorować logi pod kątem nietypowej aktywności. Dodatkowo warto rozważyć włączenie filtra unfiltered_html, jeśli to możliwe, aby zmniejszyć ryzyko wstrzyknięć.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference