CVE-2023-5704: podatność Stored XSS w wtyczce CPO Shortcodes dla WordPress

Co wiadomo

Wtyczka CPO Shortcodes dla WordPress do wersji 1.5.0 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach shortcode. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętymi skryptami, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współpracownika lub wyższymi mogą wykorzystać tę lukę do eskalacji ataków, np. kradzieży sesji lub manipulacji treścią. W efekcie może to wpłynąć na reputację firmy oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki CPO Shortcodes i jej aktualizację do wersji po 1.5.0, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa stron korzystających z tej wtyczki i edukować użytkowników o potencjalnych zagrożeniach.

Źródła

• NVD
• Reference
• Reference