Luka XSS w wtyczce WordPress IP2Location Country Blocker 2.26.7

Co wiadomo

Wtyczka WordPress IP2Location Country Blocker w wersji 2.26.7 zawiera lukę typu stored cross-site scripting (XSS), która pozwala uwierzytelnionym użytkownikom na wstrzyknięcie dowolnego kodu JavaScript poprzez interfejs ustawień frontend. Złośliwe skrypty mogą zostać wykonane, gdy administratorzy lub inni uwierzytelnieni użytkownicy odwiedzają stronę ustawień wtyczki.

Wpływ biznesowy

Luka ta może prowadzić do wykonania nieautoryzowanego kodu JavaScript w kontekście przeglądarki administratora lub innych użytkowników z uprawnieniami, co może skutkować przejęciem sesji, zmianą ustawień lub innymi działaniami na poziomie panelu administracyjnego WordPress. Zagrożenie to wymaga uwagi operatorów systemów wykorzystujących tę wtyczkę, zwłaszcza w środowiskach produkcyjnych.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki IP2Location Country Blocker i jej natychmiastowe zastosowanie, jeśli jest dostępna. W przypadku braku łatki warto ograniczyć dostęp do strony ustawień wtyczki tylko do zaufanych administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć czasowe wyłączenie wtyczki do czasu usunięcia luki.

Źródła

• NVD
• Reference
• Reference
• Reference