Уразливість Stored XSS у плагіні RegLevel для WordPress (CVE-2024-6705)

Що відомо

Плагін RegLevel для WordPress версій до 1.2.1 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених даних в адмінських налаштуваннях. Уразливість впливає лише на мультисайтові інсталяції або ті, де вимкнено unfiltered_html.

Бізнес-вплив

Атакуючі з правами адміністратора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді заражених сторінок іншими користувачами. Це може призвести до компрометації сесій, викрадення даних або подальшого поширення атак у межах мультисайтової мережі WordPress. Власникам інфраструктури слід враховувати ризики для безпеки та репутації.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна RegLevel від розробника та застосувати їх у разі доступності. Якщо оновлення неможливе, обмежте доступ до адмінських налаштувань, перевірте налаштування unfiltered_html, перегляньте журнали на предмет підозрілої активності та пріоритезуйте усунення цієї уразливості у мультисайтових інсталяціях WordPress.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference