CVE-2024-8854: podatność Stored XSS w wtyczce Polls CP dla WordPress

Co wiadomo

Wtyczka Polls CP dla WordPress w wersjach przed 1.0.77 nie sanitizuje i nie ucieka niektórych ustawień ankiet, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html, np. w środowiskach multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript przez administratorów, co zagraża bezpieczeństwu witryny i jej użytkowników. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest szczególnie istotne, ponieważ atak może obejmować wiele podstron. Operatorzy powinni zwrócić uwagę na możliwość eskalacji ataku i potencjalne naruszenia danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Polls CP do wersji 1.0.77 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy przeglądać konfigurację multisite i rozważyć tymczasowe ograniczenia funkcji unfiltered_html oraz weryfikować ustawienia ankiet pod kątem nieprawidłowości.

Źródła

• NVD
• Reference