Analityczne wykorzystywanie plików cookies
Luka Stored Cross-Site Scripting w wtyczce WordPress File Sharing Plugin
Wtyczka WordPress File Sharing Plugin do wersji 2.0.3 ma lukę Stored XSS, umożliwiającą ataki w środowiskach multisite i z wyłączonym unfiltered_html.
- CVSS
- 4.4 MEDIUM
- EPSS
- 55.42%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wordpress file sharing plugin
Co wiadomo
Wtyczka WordPress File Sharing Plugin w wersjach do 2.0.3 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie to dotyczy głównie środowisk multisite i wymaga uwagi właścicieli infrastruktury WordPress korzystających z tej wtyczki.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie wyłączono unfiltered_html.