CVE-2024-9590: podatność XSS w wtyczce Category and Taxonomy Meta Fields dla WordPress

Co wiadomo

Wtyczka Category and Taxonomy Meta Fields dla WordPress do wersji 1.0.0 zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez pole meta obrazu w funkcji 'wpaft_add_meta_textinput'. Problem dotyczy instalacji multisite oraz tych, gdzie wyłączono unfiltered_html, umożliwiając atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji, manipulacji danymi lub innych ataków. Zagrożenie dotyczy głównie środowisk multisite WordPress z wyłączoną opcją unfiltered_html, gdzie użytkownicy mają uprawnienia edytora lub wyższe.

Rekomendowane działania administratora

Zaleca się przejrzenie i aktualizację wtyczki do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite. Warto także zweryfikować konfigurację opcji unfiltered_html i stosować zasady minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference