CVE-2024-9599: luka XSS w wtyczce Popup Box dla WordPress

Co wiadomo

Wtyczka Popup Box dla WordPress w wersjach przed 4.7.8 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, luka nadal pozostaje aktywna, zwiększając ryzyko ataku.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Popup Box do wersji 4.7.8 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji multisite i polityk bezpieczeństwa może dodatkowo zmniejszyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference