Analityczne wykorzystywanie plików cookies
CVE-2023-3499: luka XSS w wtyczce Robo Gallery dla WordPress
Wtyczka Robo Gallery przed 3.2.16 umożliwia ataki Stored XSS przez administratorów, nawet przy wyłączonym unfiltered_html. Zalecana aktualizacja.
- CVSS
- 4.8 MEDIUM
- EPSS
- 32.85%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- robo gallery
Co wiadomo
Wtyczka Robo Gallery do WordPressa w wersjach przed 3.2.16 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.
Wpływ biznesowy
Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka ta nadal pozwala na eskalację ataku, co zwiększa ryzyko naruszenia integralności i poufności systemu.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Robo Gallery do wersji 3.2.16 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj konfigurację multisite i rozważ dodatkowe zabezpieczenia przed XSS.