CVE-2023-5567: podatność XSS w wtyczce QR Code Tag dla WordPress

Co wiadomo

Wtyczka QR Code Tag dla WordPress w wersjach do 1.0 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'qrcodetag'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych dostarczanych przez użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli jest to możliwe.

Źródła

• NVD
• Reference
• Reference