CVE-2023-6037: luka XSS w wtyczce WP TripAdvisor Review Slider

Co wiadomo

Wtyczka WP TripAdvisor Review Slider w wersjach przed 11.9 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Luka pozwala na wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami administratora, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla integralności i reputacji serwisu. W środowiskach multisite, gdzie dostęp do unfiltered_html jest ograniczony, ryzyko nadal występuje, co utrudnia ochronę przed atakiem.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP TripAdvisor Review Slider do wersji 11.9 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference