CVE-2024-8619: podatność XSS w wtyczce Ajax Search Lite dla WordPress

Co wiadomo

Wtyczka Ajax Search Lite dla WordPress w wersjach przed 4.12.3 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Ta luka może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. Atakujący mogą wykorzystać ją do eskalacji uprawnień lub przejęcia kontroli nad stroną. Operatorzy CMS powinni traktować tę podatność jako istotne zagrożenie dla integralności i poufności środowiska WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ajax Search Lite i jej instalację do wersji 4.12.3 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference