CVE-2024-9883: podatność Stored XSS w wtyczce Pods dla WordPress

Co wiadomo

Wtyczka Pods dla WordPress w wersjach przed 3.2.7.1 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Ta luka może umożliwić administratorom wprowadzenie złośliwego kodu JavaScript, który będzie przechowywany i wykonywany w przeglądarkach innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji danymi lub innych działań naruszających bezpieczeństwo witryny. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ atak może dotknąć wiele podstron i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Pods do wersji 3.2.7.1 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Należy również rozważyć przegląd i ograniczenie możliwości wprowadzania kodu HTML przez użytkowników z wysokimi uprawnieniami.

Źródła

• NVD
• Reference