CVE-2023-5529: luka XSS w wtyczce Advanced Page Visit Counter dla WordPress

Co wiadomo

Wtyczka Advanced Page Visit Counter dla WordPress w wersjach przed 8.0.6 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień. Może to pozwolić użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet jeśli zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka umożliwia ataki XSS, które mogą prowadzić do przejęcia sesji administratora lub wstrzyknięcia złośliwego kodu w panelu WordPress. W środowiskach multisite, gdzie unfiltered_html jest zwykle zablokowane, nadal istnieje ryzyko wykorzystania tej podatności przez użytkowników z wysokimi uprawnieniami. Operatorzy powinni zwrócić uwagę na potencjalne zagrożenia związane z bezpieczeństwem panelu administracyjnego i integralnością danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Advanced Page Visit Counter do wersji 8.0.6 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przejrzeć konfigurację multisite i rozważyć dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference