WP AdCenter (≤ 2.5.7) — XSS stocké par un contributeur authentifié (CVE-2024-10113) : Ce que les propriétaires de sites doivent savoir

D'un expert en sécurité de Hong Kong : conseils concis et pragmatiques pour les administrateurs et les développeurs. Prenez l'XSS stocké au sérieux — agissez rapidement et méthodiquement.

TL;DR

• Quoi : XSS stocké dans le plugin WP AdCenter (versions ≤ 2.5.7). Suivi sous le nom de CVE‑2024‑10113.
• Qui peut l'exploiter : Un contributeur authentifié (ou supérieur) peut créer un contenu publicitaire contenant des charges utiles de script qui sont ensuite rendues aux visiteurs ou aux administrateurs.
• Risque : CVSS 6.5 (moyen). L'exploitation nécessite un contributeur authentifié et généralement une interaction utilisateur ou un administrateur visualisant le contenu infecté.
• Correction immédiate : Mettez à jour WP AdCenter vers la version 2.5.8 ou ultérieure.
• Si vous ne pouvez pas mettre à jour immédiatement : désactivez le plugin, restreignez les capacités des contributeurs, supprimez/sanisez le contenu publicitaire, appliquez un filtrage des requêtes côté serveur (WAF/patch virtuel) lorsque cela est possible, et effectuez des vérifications judiciaires.

1. Que s'est-il passé — aperçu rapide

A stored Cross‑Site Scripting (XSS) vulnerability was found in WP AdCenter (versions up to and including 2.5.7). The plugin accepts ad HTML via shortcodes or its ad manager and outputs parts of that content on public pages. Certain input fields were stored and rendered without sufficient sanitization/escaping, allowing an authenticated Contributor to embed JavaScript. When the ad is rendered, the browser executes the script in the visitor’s context.

• Classe de vulnérabilité : XSS stocké
• Versions affectées : ≤ 2.5.7
• Corrigé dans : 2.5.8
• Privilège requis : Contributeur (authentifié)
• CVSS : 6.5
• CVE : CVE‑2024‑10113

2. Pourquoi l'XSS stocké est dangereux — même venant d'un contributeur

L'XSS stocké persiste sur le site et peut affecter tout visiteur ou administrateur qui charge une page contenant le contenu malveillant. Les conséquences incluent :

• Vol de cookies/session et prise de contrôle à distance des sessions administratives.
• Actions effectuées dans le contexte d'un utilisateur authentifié (création de publication, modifications des paramètres).
• Incitations au phishing, faux formulaires de connexion ou défiguration persistante visible par les utilisateurs.
• Livraison de charges utiles secondaires (malware, redirections, cryptomineurs).
• Pivotement via des extensions de navigateur ou d'autres relations de confiance côté client.

Parce que les administrateurs et les éditeurs ont des privilèges plus élevés, un attaquant qui peut amener un administrateur à voir l'annonce infectée peut rapidement escalader l'impact. Même si les contributeurs ne peuvent pas gérer les plugins, le XSS stocké peut être utilisé dans des chaînes d'attaque pour compromettre l'intégrité du site.

3. Cause racine (technique, haut niveau)

Le plugin permettait de sauvegarder du HTML d'annonce non fiable et de le rendre ensuite sans échapper ou assainir correctement. Points clés :

• Les champs HTML d'annonce étaient stockés tels quels au lieu d'être assainis à l'entrée.
• Rendering functions output raw HTML into pages, permitting
  Vérifiez ma commande

  0

  Sous-total

  Taxes et frais de port calculés à la caisse

  Passer à la caisse