CVE-2023-5308: podatność XSS w wtyczce Podcast Subscribe Buttons dla WordPress

Co wiadomo

Wtyczka Podcast Subscribe Buttons dla WordPress w wersjach do 1.4.8 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'podcast_subscribe'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z nadużyciem uprawnień oraz potencjalne szkody dla reputacji i bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. Jeśli aktualizacja nie jest dostępna, należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference