Analityczne wykorzystywanie plików cookies
CVE-2023-4388: podatność Stored XSS w wtyczce EventON dla WordPress
Wtyczka EventON przed 2.2 umożliwia Stored XSS ataki przez administratorów, nawet przy wyłączonym unfiltered_html. Zalecana aktualizacja.
- CVSS
- 4.8 MEDIUM
- EPSS
- 32.86%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- eventon
Co wiadomo
Wtyczka EventON dla WordPress w wersjach przed 2.2 nie sanitizuje i nie zabezpiecza niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Ta luka może umożliwić administratorom wprowadzenie złośliwego kodu JavaScript, który zostanie zapisany i wykonany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży danych sesji lub innych działań nieautoryzowanych. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje, co może wpłynąć na integralność i bezpieczeństwo witryny oraz danych użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie wtyczki EventON do wersji 2.2 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji, należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeglądnąć konfigurację multisite i rozważyć zastosowanie dodatkowych mechanizmów filtrowania treści.