Analityczne wykorzystywanie plików cookies
CVE-2024-6910: podatność XSS w wtyczce EventON dla WordPress
Wtyczka EventON przed 2.2.17 umożliwia ataki XSS przez administratorów. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 25.74%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- eventon
Co wiadomo
Wtyczka EventON dla WordPress w wersjach przed 2.2.17 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków Cross-Site Scripting (XSS), nawet gdy opcja unfiltered_html jest wyłączona.
Wpływ biznesowy
Podatność ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i integralności serwisu. W środowiskach CMS, gdzie bezpieczeństwo i integralność danych są kluczowe, taka luka może obniżyć zaufanie użytkowników i narazić firmę na ryzyko reputacyjne oraz operacyjne.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki EventON do wersji 2.2.17 lub nowszej, w której podatność została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, przegląd konfiguracji zabezpieczeń WordPress i stosowanie zasad minimalnych uprawnień zwiększy ochronę przed potencjalnym wykorzystaniem luki.