Уразливість у плагіні Icegram Engage для WordPress (CVE-2024-13486)

Що відомо

Плагін Icegram Engage для WordPress версій до 3.1.32 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть при забороні можливості unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру клієнтів. Власники сайтів на WordPress, які використовують Icegram Engage, особливо у мультисайтових конфігураціях, мають врахувати ризики потенційних атак через цю вразливість.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Icegram Engage до версії 3.1.32 або новішої, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити права користувачів з високими привілеями, перевірити журнали безпеки на ознаки атак та зменшити експозицію плагіна. Також варто регулярно переглядати оновлення від виробника та застосовувати їх своєчасно.

Джерела

• NVD
• Reference