CVE-2023-6164: podatność na wstrzyknięcie CSS w wtyczce MainWP Dashboard

Co wiadomo

Wtyczka MainWP Dashboard – WordPress Manager for Multiple Websites Maintenance jest podatna na wstrzyknięcie CSS poprzez parametr 'newColor' we wszystkich wersjach do 4.5.1.2 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych, co pozwala administratorom na wstrzyknięcie dowolnych wartości CSS.

Wpływ biznesowy

Podatność ta może umożliwić atakującym z uprawnieniami administratora modyfikację stylów witryny, co może prowadzić do problemów z wyglądem, użytecznością lub potencjalnie ułatwić dalsze ataki. Choć ocena CVSS wskazuje na niskie ryzyko, organizacje korzystające z tej wtyczki powinny zwrócić uwagę na możliwość manipulacji interfejsem i potencjalne zagrożenia dla doświadczenia użytkownika.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MainWP Dashboard i ich zastosowanie. W przypadku braku łatki warto ograniczyć dostęp administratorów oraz monitorować logi pod kątem nietypowych zmian w stylach CSS. Dodatkowo, warto przeprowadzić przegląd konfiguracji i uprawnień użytkowników, aby zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference
• Reference