Analityczne wykorzystywanie plików cookies
CVE-2023-4253: podatność wpbot wtyczce WordPress
Podatność XSS w wtyczce wpbot WordPress przed 4.7.8 pozwala administratorom na ataki Stored XSS. Zalecana szybka aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 34.07%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wpbot
Co wiadomo
Wtyczka AI ChatBot wpbot w wersjach przed 4.7.8 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript przez administratorów, co może skutkować przejęciem sesji, manipulacją treścią lub innymi atakami XSS. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla integralności i bezpieczeństwa witryn opartych na WordPress z tą wtyczką.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki wpbot do wersji 4.7.8 lub nowszej udostępnionej przez producenta quantumcloud. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, przeglądać logi pod kątem podejrzanej aktywności oraz monitorować i minimalizować ekspozycję serwisu na potencjalne ataki XSS.