CVE-2024-8617: luka XSS w wtyczce Quiz Maker dla WordPress

Co wiadomo

Wtyczka Quiz Maker dla WordPress w wersjach przed 6.5.9.9 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html, np. w środowiskach multisite.

Wpływ biznesowy

Luka umożliwia ataki XSS, które mogą prowadzić do przejęcia sesji administratora lub wstrzyknięcia złośliwego kodu w panelu zarządzania WordPress. Może to skutkować naruszeniem integralności i bezpieczeństwa witryny, zwłaszcza w środowiskach multisite, gdzie uprawnienia są ściśle kontrolowane.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Quiz Maker do wersji 6.5.9.9 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj uprawnienia użytkowników o wysokich uprawnieniach oraz rozważ wdrożenie dodatkowych mechanizmów zabezpieczeń XSS.

Źródła

• NVD
• Reference