CVE-2023-4060: podatność WP Adminify umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka WP Adminify dla WordPressa w wersjach przed 3.1.6 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Podatność ta może zostać wykorzystana przez administratorów do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, ryzyko pozostaje istotne, co może wpłynąć na bezpieczeństwo całej platformy WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Adminify do wersji 3.1.6 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeglądać konfigurację multisite pod kątem potencjalnych luk. Regularne przeglądy i testy bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference