Analityczne wykorzystywanie plików cookies
CVE-2023-5507: podatność Stored Cross-Site Scripting w wtyczce ImageMapper dla WordPress
Podatność Stored XSS w ImageMapper do WordPress (do wersji 1.2.6) umożliwia atakującym z uprawnieniami współtwórcy wstrzyknięcie złośliwych skryptów.
- CVSS
- 6.4 MEDIUM
- EPSS
- 35.51%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- imagemapper
Co wiadomo
Wtyczka ImageMapper dla WordPress w wersjach do 1.2.6 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'imagemap'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki ImageMapper i rozważyć aktualizację do nowszej, wolnej od podatności wersji, jeśli jest dostępna. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wtyczek WordPress.