CVE-2023-3667: podatność Stored XSS w wtyczce Bit Assist dla WordPress

Co wiadomo

Wtyczka Bit Assist dla WordPress w wersjach przed 1.1.9 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html, np. w środowisku multisite.

Wpływ biznesowy

Podatność ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest nadal obecne, co utrudnia ograniczenie skutków ataku.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Bit Assist do wersji 1.1.9 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeprowadzić przegląd konfiguracji multisite i rozważyć dodatkowe mechanizmy zabezpieczeń przed XSS.

Źródła

• NVD
• Reference