Analityczne wykorzystywanie plików cookies
CVE-2023-5063: podatność Stored XSS w wtyczce Widget Responsive for Youtube dla WordPress
Podatność Stored XSS w wtyczce Widget Responsive for Youtube dla WordPress umożliwia ataki przez shortcode 'youtube'. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 35.75%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- widget responsive for youtube
Co wiadomo
Wtyczka Widget Responsive for Youtube dla WordPress w wersjach do 1.6.1 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'youtube'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, przejęcia kont lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo traktuj aktualizacje zabezpieczeń i audyt uprawnień użytkowników.