CVE-2023-5558: luka XSS w wtyczce LearnPress dla WordPress

Co wiadomo

Wtyczka LearnPress dla WordPress w wersjach przed 4.2.5.5 nie oczyszcza i nie zabezpiecza poprawnie danych wprowadzanych przez użytkownika przed ich wyświetleniem, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Luka ta może zostać wykorzystana przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność XSS w LearnPress może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia kontroli nad panelem zarządzania stroną lub kradzieży danych uwierzytelniających. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS i danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki LearnPress do wersji 4.2.5.5 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych aktywności oraz stosować dodatkowe mechanizmy zabezpieczające przed XSS. Regularne przeglądy i ocena ryzyka są wskazane.

Źródła

• NVD
• Reference