Analityczne wykorzystywanie plików cookies
Luka Stored XSS w wtyczce UserPro dla WordPress (CVE-2023-2439)
Wtyczka UserPro do WordPress do wersji 5.1.5 ma lukę Stored XSS umożliwiającą ataki przez shortcode 'userpro'. Zalecane aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 25.63%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- userpro
Co wiadomo
Wtyczka UserPro dla WordPress w wersjach do 5.1.5 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'userpro'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, przejęcia kont lub innych działań naruszających bezpieczeństwo i integralność serwisu WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki UserPro i ich zastosowanie. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'userpro'.