Analityczne wykorzystywanie plików cookies
CVE-2024-7955: luka w wtyczce Starbox dla WordPress
Wtyczka Starbox przed 3.5.2 umożliwia ataki Stored XSS przez administratorów. Zalecana szybka aktualizacja i ograniczenie uprawnień.
- CVSS
- 4.8 MEDIUM
- EPSS
- 30.13%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- starbox
Co wiadomo
Wtyczka Starbox dla WordPress w wersjach przed 3.5.2 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.
Wpływ biznesowy
Luka ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atak może wpłynąć na wiele podstron lub witryn. Operatorzy powinni traktować tę lukę jako średniego ryzyka, ale wymagającą uwagi, zwłaszcza w przypadku witryn o wysokim poziomie uprawnień użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Starbox do wersji 3.5.2 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych działań. Dobrą praktyką jest również przegląd konfiguracji multisite i weryfikacja, czy funkcja unfiltered_html jest odpowiednio ograniczona. W przypadku braku możliwości natychmiastowej aktualizacji, należy rozważyć tymczasowe wyłączenie wtyczki.