Analityczne wykorzystywanie plików cookies
CVE-2023-4597: podatność Stored Cross-Site Scripting w wtyczce Slimstat Analytics dla WordPress
Podatność Stored XSS w Slimstat Analytics (WordPress) pozwala na wstrzyknięcie skryptów przez użytkowników z uprawnieniami współpracownika i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 44.05%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- slimstat analytics
Co wiadomo
Wtyczka Slimstat Analytics dla WordPress w wersjach do 5.0.9 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'slimstat'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Slimstat Analytics i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd zabezpieczeń i edukację użytkowników o ryzyku XSS.