CVE-2023-41731: podatność XSS w wtyczce WordPress Publish Post Email Notification

Co wiadomo

Wtyczka WordPress Publish Post Email Notification firmy I Thirteen Web Solution w wersjach do 1.0.2.2 zawiera podatność typu Stored Cross-Site Scripting (XSS) wymagającą uprawnień administratora lub wyższych. Luka pozwala na wstrzyknięcie złośliwego kodu w powiadomienia e-mail po publikacji wpisu.

Wpływ biznesowy

Podatność może umożliwić atakującemu z uprawnieniami administratora wstrzyknięcie i wykonanie złośliwego skryptu w powiadomieniach e-mail, co może prowadzić do kradzieży danych lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny zweryfikować ryzyko i podjąć działania ograniczające ekspozycję.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi systemowe pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference