CVE-2023-5116: podatność Stored XSS w wtyczce Live updates from Excel dla WordPress

Co wiadomo

Wtyczka Live updates from Excel dla WordPress w wersjach do 2.3.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'ipushpull_page' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy mogą wykorzystać tę lukę do eskalacji ataku, co wymaga uwagi administratorów stron opartych na WordPress z zainstalowaną tą wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Live updates from Excel u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'ipushpull_page' jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference