CVE-2023-5137: luka w wtyczce Simply Excerpts dla WordPress

Co wiadomo

Wtyczka Simply Excerpts do WordPressa w wersji do 1.4 nieprawidłowo oczyszcza i nie zabezpiecza niektórych pól w ustawieniach, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na wstrzyknięcie dowolnych skryptów webowych, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Luka umożliwia administratorom w środowiskach WordPress multisite wstrzyknięcie złośliwego kodu, co może prowadzić do eskalacji uprawnień lub ataków XSS. Może to wpłynąć na integralność i bezpieczeństwo witryny oraz danych użytkowników. Operatorzy powinni traktować tę lukę jako średniego ryzyka, szczególnie w środowiskach z wieloma użytkownikami o wysokich uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Simply Excerpts i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do ustawień wtyczki tylko do zaufanych administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach o podwyższonym ryzyku. Regularne przeglądy uprawnień użytkowników i audyt bezpieczeństwa są wskazane.

Źródła

• NVD
• Reference