CVE-2023-5946: podatność Reflected Cross-Site Scripting w wtyczce Digirisk dla WordPress

Co wiadomo

Wtyczka Digirisk w wersji 6.0.0.0 dla WordPress zawiera podatność typu Reflected Cross-Site Scripting (XSS) w parametrze 'current_group_id' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i sesji użytkowników serwisu opartego na WordPress z zainstalowaną wtyczką Digirisk. Może to skutkować kradzieżą danych, przejęciem sesji lub innymi atakami skierowanymi na użytkowników. Operatorzy powinni traktować tę lukę jako średniego ryzyka i podjąć działania w celu jej eliminacji.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Digirisk u dostawcy i zastosować je, jeśli są dostępne. W międzyczasie warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanej aktywności oraz edukować użytkowników w zakresie nieklikania w podejrzane linki. Zaleca się również przegląd konfiguracji zabezpieczeń aplikacji webowej i wdrożenie mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference