Analityczne wykorzystywanie plików cookies
CVE-2023-4841: podatność Stored XSS w wtyczce Feeds for YouTube dla WordPress
Podatność Stored XSS w wtyczce Feeds for YouTube dla WordPress umożliwia atakującym wstrzykiwanie złośliwych skryptów. Zalecane jest szybkie zaktualizowanie wtyczki.
- CVSS
- 6.4 MEDIUM
- EPSS
- 38%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- feeds for youtube
Co wiadomo
Wtyczka Feeds for YouTube dla WordPress w wersjach do 2.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'youtube-feed'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach dostarczanych przez użytkownika.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Feeds for YouTube i ich instalację. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Należy również przeprowadzić przegląd i weryfikację wprowadzanych danych przez użytkowników.