CVE-2022-3836: podatność Stored XSS w wtyczce Seed Social dla WordPress

Co wiadomo

Wtyczka Seed Social dla WordPress w wersjach przed 2.0.4 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora lub innych użytkowników, co zagraża bezpieczeństwu witryny i danych. Może to skutkować przejęciem sesji, defacementem strony lub innymi atakami na infrastrukturę CMS. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla integralności i poufności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Seed Social do wersji 2.0.4 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy przejrzeć konfigurację multisite i rozważyć zastosowanie dodatkowych mechanizmów filtrowania treści.

Źródła

• NVD
• Reference