CVE-2024-9878: podatność XSS w wtyczce Photo Gallery by 10Web dla WordPress

Co wiadomo

Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.30 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i ucieczki danych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora lub innych użytkowników, co zagraża integralności i bezpieczeństwu witryny. Operatorzy powinni rozważyć ryzyko eskalacji ataków i utraty kontroli nad stroną.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji nowszej niż 1.8.30, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp administratorów, zweryfikować i oczyścić ustawienia wtyczki oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeglądnąć konfigurację multisite i opcję unfiltered_html, aby zmniejszyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference