CVE-2023-5661: podatność Stored Cross-Site Scripting w wtyczce Social Feed dla WordPress

Co wiadomo

Wtyczka Social Feed dla WordPress do wersji 1.5.4.6 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'socialfeed'. Problem wynika z niewystarczającej sanitacji i eskapowania danych wejściowych przekazywanych przez użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Social Feed u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi serwera pod kątem podejrzanej aktywności. Wdrożenie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall, może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference