CVE-2023-5086: podatność na przechowywany Cross-Site Scripting w wtyczce Copy Anything to Clipboard

Co wiadomo

Wtyczka Copy Anything to Clipboard dla WordPressa do wersji 2.6.4 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez shortcode 'copy'. Niewystarczająca sanitacja i ucieczka danych wejściowych umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wymaga uwagi administratorów WordPressa korzystających z tej wtyczki, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Copy Anything to Clipboard i ich wdrożenie. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Regularne audyty bezpieczeństwa i edukacja użytkowników również pomagają minimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference