CVE-2023-5181: podatność XSS w wtyczce WP Discord Invite

Co wiadomo

Wtyczka WP Discord Invite w wersjach przed 2.5.2 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny WordPress. Może to skutkować przejęciem sesji, zmianą ustawień lub innymi nieautoryzowanymi działaniami, wpływając negatywnie na stabilność i reputację infrastruktury CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WP Discord Invite do wersji 2.5.2 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych aktywności. Przeglądaj i weryfikuj ustawienia wtyczki pod kątem potencjalnie niebezpiecznych danych wejściowych.

Źródła

• NVD
• Reference