CVE-2023-4599: podatność XSS w wtyczce Email Encoder dla WordPress

Co wiadomo

Wtyczka Email Encoder dla WordPress do wersji 2.1.8 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'eeb_mailto'. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony. Pełna poprawka została wydana w wersji 2.1.9.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających ze stron opartych na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Email Encoder do wersji 2.1.9 lub nowszej, w której podatność została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference