CVE-2023-4810: podatność XSS w wtyczce Responsive Pricing Table dla WordPress

Co wiadomo

Wtyczka Responsive Pricing Table w wersjach przed 5.1.8 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Podatność ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla bezpieczeństwa witryny. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko jest szczególnie istotne, ponieważ atak może zostać przeprowadzony mimo ograniczeń. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli wtyczka jest aktywna i wykorzystywana do zarządzania cenami.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Responsive Pricing Table do wersji 5.1.8 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości aktualizacji, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych aktywności. Dodatkowo, warto przejrzeć konfigurację multisite pod kątem uprawnień i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference