CVE-2023-5071: podatność Stored Cross-Site Scripting w wtyczce Sitekit dla WordPress

Co wiadomo

Wtyczka Sitekit dla WordPress w wersjach do 1.4 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'sitekit_iframe' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji naraża witrynę na ryzyko wykorzystania tej podatności, co może skutkować naruszeniem bezpieczeństwa i utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Sitekit i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji, ogranicz dostęp użytkowników do poziomu niższego niż współpracownik oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd i ograniczenie uprawnień użytkowników oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference