CVE-2023-3666: podatność Stored XSS w wtyczce Sticky Side Buttons dla WordPress

Co wiadomo

Wtyczka Sticky Side Buttons w wersjach przed 2.0.0 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet przy wyłączonej zdolności unfiltered_html, np. w konfiguracjach multisite.

Wpływ biznesowy

Ta luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych ataków XSS. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest nadal obecne, co może wpłynąć na integralność i bezpieczeństwo witryn opartych na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Sticky Side Buttons do wersji 2.0.0 lub nowszej udostępnionej przez autora. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości.

Źródła

• NVD
• Reference