Analityczne wykorzystywanie plików cookies
CVE-2023-4774: podatność Stored Cross-Site Scripting w wtyczce WP-Matomo Integration
Wtyczka WP-Matomo Integration do WordPress ma podatność XSS umożliwiającą ataki przez shortcode 'wp-piwik'. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 41.28%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- connect matomo
Co wiadomo
Wtyczka WP-Matomo Integration (WP-Piwik) dla WordPress w wersjach do 1.0.28 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'wp-piwik'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzyknąć złośliwy kod JavaScript, który będzie wykonywany przy każdym dostępie do zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów serwisu. Wpływa to na bezpieczeństwo i integralność witryny oraz zaufanie użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP-Matomo Integration i ich wdrożenie. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z shortcode 'wp-piwik'.