CVE-2023-3328: podatność w wtyczce Custom Field for WP Job Manager

Co wiadomo

Wtyczka Custom Field for WP Job Manager w wersjach przed 1.2 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Ta luka może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny WordPress. Może to skutkować przejęciem kontroli nad panelem administracyjnym lub eskalacją uprawnień. Operatorzy powinni traktować tę podatność jako istotne ryzyko dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Custom Field for WP Job Manager do wersji 1.2 lub nowszej. W przypadku braku możliwości aktualizacji, ogranicz dostęp administratorów oraz przeprowadź przegląd logów pod kątem podejrzanej aktywności. Dodatkowo warto zweryfikować konfigurację uprawnień i rozważyć wdrożenie mechanizmów zapobiegających XSS.

Źródła

• NVD
• Reference