CVE-2023-1982: podatność w wtyczce Front Editor dla WordPress

Co wiadomo

Wtyczka Front Editor do WordPressa w wersjach do 4.0.4 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia formularzy, co może pozwolić użytkownikom z wysokimi uprawnieniami na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet jeśli zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Atakujący z wysokimi uprawnieniami mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko nadal istnieje, co zwiększa potencjalne zagrożenie dla bezpieczeństwa i integralności witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Front Editor u jej dostawcy i wdrożenie najnowszej wersji. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeprowadzić przegląd konfiguracji zabezpieczeń WordPressa, zwłaszcza w środowiskach multisite, aby zmniejszyć ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference