CVE-2023-4805: Luka wtyczki Tutor LMS umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka Tutor LMS dla WordPressa w wersjach przed 2.3.0 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom, np. subskrybentom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet przy wyłączonej zdolności unfiltered_html, np. w konfiguracji multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Operatorzy stron korzystających z Tutor LMS powinni rozważyć ryzyko nieautoryzowanego dostępu lub manipulacji treścią, szczególnie w środowiskach multisite, gdzie ograniczenia uprawnień mogą nie wystarczyć.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Tutor LMS do wersji 2.3.0 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd konfiguracji multisite i wprowadzić dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference