CVE-2024-8759: podatność na atak Stored Cross-Site Scripting w wtyczce Nested Pages

Co wiadomo

Wtyczka Nested Pages dla WordPressa w wersjach przed 3.2.9 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i danych użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do eskalacji ataków lub manipulacji treścią. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ ograniczenia unfiltered_html nie chronią przed tym zagrożeniem.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Nested Pages do wersji 3.2.9 lub nowszej udostępnionej przez autora. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Regularne przeglądy i audyty bezpieczeństwa w środowisku WordPress są wskazane, aby minimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference