CVE-2023-4423: podatność Stored XSS w wtyczce WP Event Manager

Co wiadomo

Wtyczka WP Event Manager dla WordPressa do wersji 3.1.37.1 zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do eskalacji ataków XSS, co zagraża integralności i bezpieczeństwu panelu administracyjnego oraz danych użytkowników. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z wtyczką w środowiskach WordPress, szczególnie w konfiguracjach multisite.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Event Manager u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji multisite lub ponowne włączenie unfiltered_html, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference