CVE-2023-2995: podatność Stored XSS w wtyczce Leyka dla WordPress

Co wiadomo

Wtyczka Leyka dla WordPress w wersjach przed 3.30.4 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny oraz danych. Może to skutkować przejęciem sesji, modyfikacją zawartości strony lub dalszym rozprzestrzenianiem ataku. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, szczególnie w środowiskach z wieloma administratorami.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Leyka do wersji 3.30.4 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd i weryfikacja ustawień wtyczki oraz zastosowanie zasad minimalizacji uprawnień zwiększą bezpieczeństwo.

Źródła

• NVD
• Reference