CVE-2023-5057: luka XSS w wtyczce ActivityPub dla WordPress

Co wiadomo

Wtyczka ActivityPub dla WordPress w wersjach przed 1.0.0 nie zabezpiecza poprawnie metadanych użytkowników w wyświetlanych wzmiankach, co umożliwia użytkownikom z rolą Współpracownika i wyższą przeprowadzenie ataków typu Stored XSS.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu witryny i danych użytkowników. Operatorzy stron korzystających z tej wtyczki powinni zwrócić uwagę na możliwość eskalacji uprawnień i potencjalne naruszenia integralności oraz poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki ActivityPub do wersji 1.0.0 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników do ról wyższych niż Współpracownik oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj wzmianki użytkowników pod kątem potencjalnych ataków XSS.

Źródła

• NVD
• Reference