CVE-2024-7879: Luka XSS w wtyczce WP ULike dla WordPress

Co wiadomo

Wtyczka WP ULike dla WordPress w wersjach przed 4.7.5 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, takim jak redaktorzy, na przeprowadzenie ataków Cross-Site Scripting (XSS), nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. W środowiskach, gdzie redaktorzy mają dostęp do panelu, luka ta może zostać wykorzystana do eskalacji ataku lub kradzieży sesji. Operatorzy CMS powinni rozważyć ryzyko związane z tą podatnością, zwłaszcza w przypadku stron o dużym ruchu i wielu użytkownikach z uprawnieniami edytorskimi.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP ULike do wersji 4.7.5 lub nowszej, gdzie luka została załatana. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i weryfikować ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości. Regularne przeglądy i aktualizacje komponentów WordPressa są kluczowe dla utrzymania bezpieczeństwa.

Źródła

• NVD
• Reference