CVE-2023-4798: luka XSS w wtyczce User Avatar Reloaded dla WordPress

Co wiadomo

Wtyczka User Avatar Reloaded dla WordPress w wersjach przed 1.2.2 nieprawidłowo oczyszcza i zabezpiecza atrybuty niektórych shortcode'ów, co może umożliwić użytkownikom o niskich uprawnieniach, takim jak współautorzy, przeprowadzenie ataków typu Stored XSS.

Wpływ biznesowy

Atak typu Stored XSS może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników, co zagraża bezpieczeństwu witryny i danych. Organizacje korzystające z tej wtyczki mogą doświadczyć naruszenia integralności i poufności informacji, a także utraty zaufania użytkowników. W przypadku stron z wieloma współautorami ryzyko wykorzystania tej luki jest wyższe.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki User Avatar Reloaded do wersji 1.2.2 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i audyt bezpieczeństwa strony oraz stosować zasady minimalnych uprawnień.

Źródła

• NVD
• Reference