CVE-2024-7891: podatność XSS w wtyczce Floating Contact Button dla WordPress

Co wiadomo

Wtyczka Floating Contact Button dla WordPress w wersjach przed 2.8 nie sanitizuje i nie zabezpiecza niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków Cross-Site Scripting (XSS), nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i integralności serwisu. W środowiskach CMS, gdzie bezpieczeństwo i integralność danych są kluczowe, taka luka może obniżyć zaufanie użytkowników i narazić firmę na ryzyko reputacyjne oraz operacyjne.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Floating Contact Button i jej instalację do wersji 2.8 lub nowszej. W przypadku braku możliwości aktualizacji, ogranicz dostęp do wtyczki wyłącznie do zaufanych administratorów oraz monitoruj logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd konfiguracji bezpieczeństwa WordPress i rozważyć wdrożenie mechanizmów zapobiegających XSS.

Źródła

• NVD
• Reference