CVE-2024-9116: Luka XSS w wtyczce Monkee-Boy Essentials dla WordPress

Co wiadomo

Wtyczka Monkee-Boy Essentials dla WordPress do wersji 1.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala atakującym z uprawnieniami autora lub wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy każdym dostępie do zainfekowanego pliku SVG. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Monkee-Boy Essentials i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych aktywności związanych z przesyłaniem plików SVG. Dodatkowo warto rozważyć tymczasowe wyłączenie funkcji przesyłania SVG, jeśli nie jest niezbędna.

Źródła

• NVD
• Reference
• Reference