CVE-2024-7618: podatność Stored XSS w wtyczce PeepSo dla WordPress

Co wiadomo

Wtyczka Community by PeepSo dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'content' w wersjach do 6.4.5.0 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji. Zagrożenie to wymaga uwagi zwłaszcza w środowiskach z wieloma użytkownikami i rozbudowanymi instalacjami WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki PeepSo i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować konfigurację multisite oraz ustawienia unfiltered_html. Dodatkowo warto monitorować logi serwera pod kątem podejrzanej aktywności i priorytetyzować działania zabezpieczające w środowiskach wielostanowiskowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference