CVE-2023-5749: podatność Reflected XSS w wtyczce EmbedPress dla WordPress

Co wiadomo

Wtyczka EmbedPress dla WordPress w wersjach przed 3.9.2 nie sanitizuje i nie ucieka danych wejściowych użytkownika przed ich wyświetleniem, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atak ten może być wykorzystany przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność ta może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratorów strony, co może prowadzić do przejęcia kontroli nad panelem administracyjnym lub kradzieży danych. Właściciele stron korzystających z EmbedPress powinni traktować tę lukę poważnie, zwłaszcza jeśli wtyczka jest używana przez użytkowników z uprawnieniami administracyjnymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki EmbedPress do wersji 3.9.2 lub nowszej, w której podatność została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeprowadzić przegląd i weryfikację wszystkich danych wejściowych użytkowników na stronie.

Źródła

• NVD
• Reference