CVE-2023-5126: podatność Stored Cross-Site Scripting w wtyczce Delete Me dla WordPress

Co wiadomo

Wtyczka Delete Me dla WordPress w wersjach do 3.0 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode 'plugin_delete_me' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom o uprawnieniach współtwórcy i wyższych wstrzykiwanie złośliwego kodu, co może prowadzić do kradzieży sesji lub innych działań na kontach użytkowników. Administratorzy nie są bezpośrednio narażeni, ponieważ shortcode nie jest wyświetlany dla nich, jednak zagrożenie dla innych użytkowników i integralności witryny pozostaje istotne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Delete Me u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference