CVE-2024-8283: Luka XSS w wtyczce Slider by 10Web dla WordPress

Co wiadomo

Wtyczka Slider by 10Web dla WordPress w wersjach przed 1.2.59 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone (np. w konfiguracji multisite).

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, ryzyko pozostaje istotne, co wymaga uwagi ze strony operatorów IT i właścicieli infrastruktury.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Slider by 10Web do wersji 1.2.59 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeglądać konfigurację multisite i rozważyć dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference