CVE-2023-6163: luka XSS w wtyczce WP Crowdfunding

Co wiadomo

Wtyczka WP Crowdfunding dla WordPressa w wersjach przed 2.1.10 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne, co może wpłynąć na integralność i bezpieczeństwo witryn opartych na WP Crowdfunding.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Crowdfunding do wersji 2.1.10 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Regularnie przeglądaj ustawienia wtyczki i rozważ wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference