CVE-2022-4954: podatność Stored XSS w wtyczce Waiting dla WordPress

Co wiadomo

Wtyczka Waiting: One-click countdowns dla WordPress w wersjach do 0.6.2 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez nazwę odliczania. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co umożliwia administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala użytkownikom z uprawnieniami administratora na wstrzyknięcie i wykonanie dowolnych skryptów w kontekście strony, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach WordPress wykorzystujących tę wtyczkę istnieje ryzyko naruszenia integralności i bezpieczeństwa serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Waiting u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować system pod kątem nietypowego zachowania. Priorytetowo traktuj aktualizacje i audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference