Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce jquery news ticker dla WordPress
Wtyczka jquery news ticker dla WordPress do wersji 3.1 ma lukę XSS umożliwiającą wstrzykiwanie skryptów przez użytkowników z uprawnieniami współpracownika i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 34.93%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- jquery news ticker
Co wiadomo
Wtyczka jquery news ticker dla WordPress w wersjach do 3.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'jquery-news-ticker'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych od użytkowników.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.