CVE-2024-8051: luka XSS w wtyczce Special Feed Items dla WordPress

Co wiadomo

Wtyczka Special Feed Items do WordPressa w wersjach do 1.0.1 nie posiada odpowiedniej ochrony CSRF oraz brak w niej sanitizacji i escapingu danych, co umożliwia zalogowanym administratorom wstrzyknięcie trwałego ataku XSS poprzez atak CSRF.

Wpływ biznesowy

Luka ta może pozwolić atakującym na wykonanie złośliwego kodu w kontekście konta administratora WordPress, co może prowadzić do przejęcia kontroli nad witryną lub eskalacji uprawnień. Operatorzy CMS powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli wtyczka jest używana w środowisku produkcyjnym z wieloma administratorami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Special Feed Items u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do panelu oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy rozważyć wprowadzenie mechanizmów ochrony CSRF i poprawę sanitizacji danych w konfiguracji wtyczki.

Źródła

• NVD
• Reference