CVE-2023-4602: podatność Reflected Cross-Site Scripting w wtyczce Namaste! LMS

Co wiadomo

Wtyczka Namaste! LMS dla WordPressa do wersji 2.6.1.1 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'course_id' z powodu niewystarczającej sanitacji danych wejściowych i braków w escapowaniu wyjścia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może pozwolić nieautoryzowanym osobom na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Operatorzy stron wykorzystujących tę wtyczkę powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i prywatności użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Namaste! LMS u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych działań oraz edukować użytkowników o ryzyku kliknięcia w nieznane linki. Priorytetem jest szybka reakcja i weryfikacja środowiska pod kątem potencjalnych incydentów.

Źródła

• NVD
• Reference
• Reference
• Reference