Analityczne wykorzystywanie plików cookies
CVE-2023-2606: podatność WP Brutal AI na atak Stored Cross-Site Scripting
Wtyczka WP Brutal AI przed 2.06 umożliwia ataki Stored XSS przez administratorów, nawet przy wyłączonym unfiltered_html. Aktualizuj wtyczkę.
- CVSS
- 4.8 MEDIUM
- EPSS
- 80.67%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp brutal ai
Co wiadomo
Wtyczka WP Brutal AI dla WordPressa w wersjach przed 2.06 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataku Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.
Wpływ biznesowy
Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny. W środowiskach multisite, gdzie restrykcje unfiltered_html są stosowane, podatność ta może być szczególnie niebezpieczna, narażając na ryzyko wiele stron. Operatorzy powinni zwrócić uwagę na potencjalne nadużycia i ryzyko eskalacji uprawnień.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki WP Brutal AI do wersji 2.06 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, przegląd konfiguracji multisite i uprawnień użytkowników może pomóc w ograniczeniu ryzyka.