CVE-2024-9368: luka XSS w wtyczce Aggregator Advanced Settings dla WordPress

Co wiadomo

Wtyczka Aggregator Advanced Settings dla WordPress do wersji 1.2.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co umożliwia atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie autora mogą wstrzykiwać złośliwe skrypty, które wykonają się przy każdym dostępie użytkownika do załadowanego pliku SVG, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wymaga uwagi administratorów stron opartych na WordPress z zainstalowaną podatną wersją wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Aggregator Advanced Settings i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG. Regularna weryfikacja i audyt bezpieczeństwa wtyczek jest kluczowa dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference