Analityczne wykorzystywanie plików cookies
CVE-2023-5110: podatność Stored Cross-Site Scripting w wtyczce BSK PDF Manager dla WordPress
Podatność Stored XSS w wtyczce BSK PDF Manager do WordPress umożliwia atakującym wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 36.66%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- bsk pdf manager
Co wiadomo
Wtyczka BSK PDF Manager dla WordPress w wersjach do 3.4.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'bsk-pdfm-category-dropdown'. Problem wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych przekazywanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki BSK PDF Manager u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.