CVE-2024-8189: podatność Stored XSS w wtyczce WP MultiTasking dla WordPress

Co wiadomo

Wtyczka WP MultiTasking – WP Utilities dla WordPress do wersji 0.1.17 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'wpmt_menu_name'. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony. Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html.

Wpływ biznesowy

Podatność umożliwia administratorom złośliwe wstrzykiwanie kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite ryzyko rozprzestrzenienia ataku jest większe, co może wpłynąć na wiele stron jednocześnie. Operatorzy powinni zwrócić uwagę na potencjalne naruszenia i zabezpieczyć swoje instalacje.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ograniczyć dostęp administratorów do zaufanych osób, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć włączenie dodatkowych mechanizmów filtrowania i ochrony przed XSS. Warto także zweryfikować konfigurację multisite i ustawienia unfiltered_html.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference