CVE-2024-9390: luka XSS w wtyczce RegistrationMagic dla WordPress

Co wiadomo

Wtyczka RegistrationMagic dla WordPress w wersjach przed 6.0.2.1 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla witryny i jej użytkowników. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż luka działa mimo ograniczeń unfiltered_html. Może to wpłynąć na integralność i bezpieczeństwo platformy CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki RegistrationMagic do wersji 6.0.2.1 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć dodatkowe mechanizmy filtrowania i zabezpieczeń XSS. Regularne przeglądy i audyty bezpieczeństwa wtyczek CMS są wskazane.

Źródła

• NVD
• Reference