Lana Shortcodes WordPress: luka XSS w wersjach przed 1.2.0

Co wiadomo

Wtyczka Lana Shortcodes dla WordPressa w wersjach przed 1.2.0 nie waliduje i nie oczyszcza niektórych atrybutów shortcode przed ich wyświetleniem, co umożliwia użytkownikom z rolą współautora i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka ta pozwala na wstrzyknięcie złośliwego kodu JavaScript, który może zostać wykonany w przeglądarce innych użytkowników odwiedzających stronę. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy przede wszystkim serwisów korzystających z tej wtyczki i umożliwiających edycję treści przez użytkowników z rolą współautora lub wyższą.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Lana Shortcodes do wersji 1.2.0 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników do edycji shortcode oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto przejrzeć i zweryfikować wszystkie treści zawierające shortcode pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference