CVE-2023-4151: podatność XSS w wtyczce Store Locator dla WordPress

Co wiadomo

Wtyczka Store Locator dla WordPress w wersjach przed 1.4.13 nie sanitizuje i nie zabezpiecza poprawnie nieprawidłowego nonce w odpowiedzi AJAX, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atak może być wymierzony w użytkowników o wysokich uprawnieniach, takich jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia kontroli nad panelem zarządzania witryną. Może to skutkować nieautoryzowanymi zmianami w konfiguracji lub instalacji złośliwego oprogramowania, co zagraża integralności i dostępności usług.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Store Locator do wersji 1.4.13 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanych aktywności. Przeanalizuj i zweryfikuj uprawnienia użytkowników oraz rozważ wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference