Analityczne wykorzystywanie plików cookies
CVE-2023-4648: podatność Stored Cross-Site Scripting w wtyczce WP Customer Reviews
Podatność Stored XSS w wtyczce WP Customer Reviews do WordPressa umożliwia ataki z poziomu administratora w instalacjach multisite.
- CVSS
- 4.4 MEDIUM
- EPSS
- 22.61%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp customer reviews
Co wiadomo
Wtyczka WP Customer Reviews dla WordPressa w wersjach do 3.6.6 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin odpowiednich stron.
Wpływ biznesowy
Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków w środowiskach wielostanowiskowych.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki do wersji po 3.6.6, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia administratorów, zweryfikować ustawienia unfiltered_html oraz monitorować logi pod kątem podejrzanej aktywności. Warto także rozważyć wdrożenie dodatkowych mechanizmów filtrowania i zabezpieczeń XSS.