CVE-2023-3996: podatność Stored Cross-Site Scripting w ARMember Lite dla WordPress

Co wiadomo

Wtyczka ARMember Lite dla WordPress do wersji 4.0.16 zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitizacji i ucieczki danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, co może prowadzić do wykonania nieautoryzowanego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, manipulacją zawartością strony lub innymi atakami skierowanymi na użytkowników i administratorów. Wpływa to na bezpieczeństwo i integralność środowiska WordPress, zwłaszcza w środowiskach wielostanowiskowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ARMember Lite u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do panelu, monitorować logi pod kątem podejrzanych działań oraz rozważyć włączenie filtrów bezpieczeństwa na poziomie serwera lub aplikacji. Priorytetem jest zabezpieczenie środowiska multisite i weryfikacja konfiguracji unfiltered_html.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference