Analityczne wykorzystywanie plików cookies
CVE-2024-9462: podatność Stored XSS w wtyczce Poll Maker dla WordPress
Podatność Stored XSS w wtyczce Poll Maker do WordPress umożliwia ataki w multisite i instalacjach bez unfiltered_html. Zalecane aktualizacje i monitoring.
- CVSS
- 5.5 MEDIUM
- EPSS
- 24.33%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- poll maker
Co wiadomo
Wtyczka Poll Maker dla WordPress do wersji 5.4.6 włącznie posiada lukę Stored Cross-Site Scripting (XSS) w ustawieniach ankiet, wynikającą z niewystarczającej sanitacji i ucieczki danych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając administratorom wstrzykiwanie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zmodyfikowanych stron, co może prowadzić do kradzieży danych sesji lub przejęcia kontroli nad witryną. Zagrożenie dotyczy głównie środowisk multisite i instalacji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi operatorów tych systemów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Poll Maker i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować logi pod kątem podejrzanych działań oraz rozważyć włączenie filtra unfiltered_html. Regularne monitorowanie i audyt bezpieczeństwa multisite jest wskazany.