Analityczne wykorzystywanie plików cookies
CVE-2023-5639: podatność Stored Cross-Site Scripting w wtyczce Team Showcase dla WordPress
Podatność Stored XSS w wtyczce Team Showcase do WordPress umożliwia ataki przez wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 36.49%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- team showcase
Co wiadomo
Wtyczka Team Showcase dla WordPress do wersji 2.1 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode 'tmfshortcode', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej contributora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co może skutkować kradzieżą sesji, przejęciem konta lub innymi atakami na użytkowników i infrastrukturę. Operatorzy stron korzystających z tej wtyczki powinni potraktować problem poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Team Showcase u jej dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeglądnąć i oczyścić istniejące treści pod kątem potencjalnych wstrzyknięć skryptów.