CVE-2023-5669: podatność XSS w wtyczce Featured Image Caption dla WordPress

Co wiadomo

Wtyczka Featured Image Caption dla WordPress do wersji 0.8.10 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode i meta wpisu, wynikający z niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami co najmniej współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Featured Image Caption u jej dostawcy i zastosowanie najnowszej wersji. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference