CVE-2024-7759: podatność Stored XSS w wtyczce PWA for WP & AMP

Co wiadomo

Wtyczka PWA for WP & AMP do WordPressa w wersjach przed 1.7.72 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki administratora, co może skutkować przejęciem sesji, modyfikacją ustawień lub innymi działaniami na poziomie CMS. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atak może rozprzestrzeniać się na wiele witryn. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli wtyczka jest aktywna i używana przez użytkowników z wysokimi uprawnieniami.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki PWA for WP & AMP do wersji 1.7.72 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przejrzeć konfigurację uprawnień i rozważyć zastosowanie mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference