CVE-2024-6724: luka XSS w wtyczce magic post thumbnail dla WordPress

Co wiadomo

Wtyczka Generate Images (magic post thumbnail) dla WordPress w wersjach przed 5.2.8 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny oraz danych użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataków, wpływając na reputację i stabilność usług opartych na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki magic post thumbnail do wersji 5.2.8 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp do kont z wysokimi uprawnieniami, przeglądać logi pod kątem podejrzanej aktywności oraz stosować zasady minimalizacji uprawnień. Regularne monitorowanie i audyt konfiguracji multisite zwiększy bezpieczeństwo środowiska.

Źródła

• NVD
• Reference