CVE-2023-5167: luka XSS w wtyczce User Activity Log Pro dla WordPress

Co wiadomo

Wtyczka User Activity Log Pro dla WordPress w wersjach przed 2.3.4 nieprawidłowo obsługuje dane User-Agent w panelu aktywności użytkowników, co może umożliwić przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, który zostanie wykonany w przeglądarce administratora lub innych użytkowników przeglądających logi. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań naruszających bezpieczeństwo systemu. Właściciele stron korzystających z tej wtyczki powinni zwrócić uwagę na potencjalne ryzyko związane z bezpieczeństwem CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki User Activity Log Pro do wersji 2.3.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji, warto ograniczyć dostęp do panelu logów oraz monitorować podejrzane aktywności w logach serwera. Dodatkowo, warto przeprowadzić przegląd i oczyszczenie istniejących logów pod kątem potencjalnych złośliwych wpisów.

Źródła

• NVD
• Reference