CVE-2023-5621: luka XSS w wtyczce Thumbnail Slider With Lightbox dla WordPress

Co wiadomo

Wtyczka Thumbnail Slider With Lightbox do WordPress w wersjach do 1.0 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w polu tytułu obrazu, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Luka umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwy kod, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Właściciele i operatorzy stron powinni zwrócić uwagę na potencjalne ryzyko związane z tą wtyczką, szczególnie w środowiskach multisite.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich szybkie zastosowanie. W międzyczasie warto ograniczyć dostęp administratorów do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference
• Reference