Luka XSS w wtyczce Popup box dla WordPressa (CVE-2023-5809)

Co wiadomo

Wtyczka Popup box dla WordPressa w wersjach przed 3.8.6 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka ta nadal pozwala na eskalację ataku. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli korzystają z wtyczki Popup box w wersjach przed 3.8.6.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Popup box do wersji 3.8.6 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administratora tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz przeglądać i weryfikować ustawienia wtyczki pod kątem potencjalnie niebezpiecznych treści. Regularne przeglądy i szybkie wdrażanie poprawek są kluczowe.

Źródła

• NVD
• Reference