CVE-2024-6887: luka XSS w wtyczce RafflePress dla WordPress

Co wiadomo

Wtyczka Giveaways and Contests by RafflePress dla WordPress w wersjach przed 1.12.16 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień konkursów, co umożliwia użytkownikom z wysokimi uprawnieniami (np. redaktorom) przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może pozwolić na wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami redaktora lub wyższymi, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa CMS i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i aktualizację wtyczki RafflePress do wersji 1.12.16 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj konfigurację multisite i rozważ dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference