CVE-2023-5127: podatność Stored XSS w wtyczce WP Font Awesome

Co wiadomo

Wtyczka WP Font Awesome dla WordPressa w wersjach do 1.7.9 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y z powodu niewystarczającej sanitacji i escapingu atrybutu 'icon'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co może prowadzić do kradzieży sesji, manipulacji zawartością lub dalszych ataków. Operatorzy stron WordPress korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami edycji treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Font Awesome i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference