CVE-2024-6665: luka XSS w wtyczce KBucket dla WordPress

Co wiadomo

Wtyczka KBucket dla WordPress w wersjach przed 4.1.6 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może umożliwić atakującym z uprawnieniami administratora wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest szczególnie istotne, ponieważ standardowe zabezpieczenia mogą nie zadziałać.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki KBucket do wersji 4.1.6 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd konfiguracji multisite i rozważyć dodatkowe mechanizmy filtrowania danych wejściowych.

Źródła

• NVD
• Reference