CVE-2023-5618: podatność Stored XSS w wtyczce Modern Footnotes dla WordPress

Co wiadomo

Wtyczka Modern Footnotes dla WordPress w wersjach do 1.4.16 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS, gdzie wielu użytkowników ma dostęp do edycji treści, ryzyko wykorzystania tej luki jest znaczące i może wpłynąć na reputację oraz bezpieczeństwo witryny.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Modern Footnotes i zaktualizować ją do najnowszej dostępnej wersji pochodzącej od dostawcy. W przypadku braku dostępnej poprawki zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego do pracy, przegląd logów pod kątem podejrzanych działań oraz monitorowanie witryny pod kątem nietypowych zachowań. Regularne przeglądy i stosowanie zasad bezpieczeństwa CMS są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference