CVE-2023-5817: podatność Stored XSS w wtyczce Neon Text dla WordPress

Co wiadomo

Wtyczka Neon Text dla WordPress do wersji 1.1 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode neontext_box, wynikającą z niewystarczającej sanitacji i escapingu atrybutu color. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co może skutkować kradzieżą danych sesji, przejęciem konta lub innymi atakami na użytkowników i administratorów. W środowiskach z wieloma współpracownikami ryzyko wykorzystania podatności przez osoby z uprawnieniami jest podwyższone, co wymaga szczególnej uwagi w zarządzaniu dostępami i monitoringu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Neon Text u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, szczególnie dla ról współtwórców i wyższych, oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd stron pod kątem obecności złośliwych skryptów i rozważyć zastosowanie mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference