CVE-2023-3746: luka XSS w wtyczce ActivityPub dla WordPress

Co wiadomo

Wtyczka ActivityPub dla WordPress w wersjach przed 1.0.0 nieprawidłowo oczyszcza i zabezpiecza niektóre dane z treści postów, co umożliwia użytkownikom z rolą współtwórcy i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie to może wpłynąć na bezpieczeństwo i reputację serwisu opartego na WordPress z zainstalowaną wtyczką ActivityPub.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki ActivityPub do wersji 1.0.0 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd i weryfikacja treści publikowanych przez użytkowników z rolą współtwórcy i wyższą również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference