CVE-2024-9589: podatność XSS w wtyczce Category and Taxonomy Meta Fields dla WordPress

Co wiadomo

Wtyczka Category and Taxonomy Meta Fields dla WordPress do wersji 1.0.0 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) przez parametr 'new_meta_name' w funkcji 'wpaft_option_page'. Problem dotyczy instalacji multisite oraz tych z wyłączoną opcją unfiltered_html.

Wpływ biznesowy

Podatność pozwala uwierzytelnionym użytkownikom z uprawnieniami administratora na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony. Może to prowadzić do przejęcia sesji, manipulacji treścią lub eskalacji uprawnień, co stanowi zagrożenie dla integralności i bezpieczeństwa witryny WordPress w środowiskach multisite.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite z wyłączonym unfiltered_html.

Źródła

• NVD
• Reference
• Reference