CVE-2023-4889: luka XSS w wtyczce Shareaholic dla WordPress

Co wiadomo

Wtyczka Shareaholic dla WordPress w wersjach do 9.7.8 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'shareaholic'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shareaholic i ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference