CVE-2023-4808: podatność Stored XSS w wtyczce WP Post Popup

Co wiadomo

Wtyczka WP Post Popup do WordPressa w wersjach do 3.7.3 nie sanitizuje poprawnie niektórych danych wejściowych, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet jeśli zdolność unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wpływ biznesowy

Ta luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych ataków na użytkowników i system. W środowiskach multisite, gdzie unfiltered_html jest zwykle zablokowane, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Post Popup i ich wdrożenie. W przypadku braku łatki warto ograniczyć dostęp do wtyczki tylko do zaufanych administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt uprawnień użytkowników i stosować zasady minimalnych uprawnień.

Źródła

• NVD
• Reference