CVE-2024-6693: podatność XSS w wtyczce WordPress wp content copy protection & no right click

Co wiadomo

Wtyczka WordPress wp content copy protection & no right click w wersjach przed 15.3 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub dalszych ataków na użytkowników. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki wp content copy protection & no right click do wersji 15.3 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ dodatkowe mechanizmy filtrowania i walidacji danych wejściowych.

Źródła

• NVD
• Reference