CVE-2024-9227: luka XSS w wtyczce PowerPress Podcasting dla WordPress

Co wiadomo

Wtyczka PowerPress Podcasting firmy Blubrry w wersjach przed 11.9.18 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia podczas dodawania podcastu, co umożliwia administratorom przeprowadzenie ataków typu Stored Cross-Site Scripting nawet bez uprawnień unfiltered_html.

Wpływ biznesowy

Luka ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych ataków na użytkowników i system. W środowiskach CMS opartych na WordPress z zainstalowaną wtyczką PowerPress, ryzyko to wymaga uwagi, zwłaszcza w przypadku dużych serwisów podcastowych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki PowerPress do wersji 11.9.18 lub nowszej udostępnionej przez Blubrry. W międzyczasie warto ograniczyć uprawnienia administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji i polityk bezpieczeństwa CMS również jest wskazany, aby zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference