CVE-2023-5162: podatność Stored XSS w wtyczce Options for Twenty Seventeen dla WordPress

Co wiadomo

Wtyczka Options for Twenty Seventeen do WordPressa w wersjach do 2.5.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'social-links'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Options for Twenty Seventeen i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów ochrony przed XSS na poziomie serwera lub aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference