CVE-2024-9115: podatność XSS w wtyczce Common Tools for Site dla WordPress

Co wiadomo

Wtyczka Common Tools for Site dla WordPress do wersji 1.0.2 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala użytkownikom z uprawnieniami autora i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność ta może umożliwić atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach korzystających z podatnej wtyczki. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań zagrażających bezpieczeństwu użytkowników i integralności witryny. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko związane z tą luką, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Common Tools for Site u jej dostawcy oraz wdrożenie najnowszej wersji zawierającej poprawki bezpieczeństwa. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi systemowe pod kątem podejrzanej aktywności związanej z przesyłaniem plików SVG. Wdrożenie dodatkowych mechanizmów filtrowania i walidacji plików SVG może również pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference