Analityczne wykorzystywanie plików cookies
CVE-2024-9663: luka XSS w wtyczce CYAN Backup dla WordPress
Wtyczka CYAN Backup przed 2.5.3 narażona na ataki Stored XSS przez administratorów. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 5.4 MEDIUM
- EPSS
- 16.91%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- cyan backup
Co wiadomo
Wtyczka CYAN Backup dla WordPress w wersjach przed 2.5.3 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracji multisite.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub eskalacji ataku na innych użytkowników. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ atak może wpłynąć na wiele witryn jednocześnie, zagrażając integralności i bezpieczeństwu całej platformy.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki CYAN Backup do wersji 2.5.3 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeglądnąć konfigurację multisite i rozważyć wprowadzenie dodatkowych mechanizmów zabezpieczających przed XSS.