Analityczne wykorzystywanie plików cookies
CVE-2023-6081: podatność w wtyczce chartjs dla WordPress
Wtyczka chartjs do WordPress ma lukę umożliwiającą ataki Stored XSS przez administratorów. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 5.4 MEDIUM
- EPSS
- 31.65%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- chartjs
Co wiadomo
Wtyczka chartjs dla WordPress do wersji 2023.2 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet przy wyłączonej zdolności unfiltered_html, np. w konfiguracji multisite.
Wpływ biznesowy
Ta luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. Może to prowadzić do przejęcia sesji, defacementu strony lub innych ataków skierowanych na infrastrukturę CMS. Operatorzy powinni traktować tę podatność jako istotne ryzyko, zwłaszcza w środowiskach multisite.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki chartjs i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przejrzeć konfigurację multisite i rozważyć tymczasowe ograniczenia funkcji umożliwiających wstrzykiwanie kodu.