CVE-2020-36769: podatność XSS w wtyczce Widget Settings Importer/Exporter dla WordPress

Co wiadomo

Wtyczka Widget Settings Importer/Exporter dla WordPress w wersjach do 1.5.3 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez akcję AJAX wp_ajax_import_widget_data. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS takich jak WordPress, tego typu podatności mogą poważnie naruszyć integralność i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki, należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także przeprowadzić przegląd i wzmocnienie mechanizmów sanitacji danych w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference