CVE-2024-7769: luka XSS w wtyczce ClickSold IDX dla WordPress

Co wiadomo

Wtyczka ClickSold IDX do WordPress w wersji do 1.90 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataków, kradzieży danych lub przejęcia kontroli nad stroną. Właściciele i operatorzy infrastruktury powinni zwrócić uwagę na potencjalne ryzyko związane z tą wtyczką, zwłaszcza w środowiskach multisite.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ClickSold IDX u dostawcy oraz ich wdrożenie. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, warto rozważyć tymczasowe wyłączenie wtyczki w środowiskach krytycznych do czasu usunięcia podatności.

Źródła

• NVD
• Reference