CVE-2023-4775: podatność Stored Cross-Site Scripting w wtyczce Advanced iFrame dla WordPress

Co wiadomo

Wtyczka Advanced iFrame dla WordPress do wersji 2023.8 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) poprzez shortcode 'advanced_iframe' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań złośliwych poprzez wykonanie nieautoryzowanego kodu JavaScript. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z możliwością ataków XSS, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści. Może to wpłynąć na reputację i bezpieczeństwo witryny oraz jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Advanced iFrame u jej dostawcy oraz ich zastosowanie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Przegląd i audyt konfiguracji wtyczki oraz stron korzystających z shortcode 'advanced_iframe' również jest wskazany.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference