Analityczne wykorzystywanie plików cookies
CVE-2023-6225: podatność Stored XSS w wtyczce Shortcodes Ultimate dla WordPress
Podatność Stored XSS w wtyczce Shortcodes Ultimate dla WordPress umożliwia ataki przez wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 39%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- shortcodes ultimate
Co wiadomo
Wtyczka Shortcodes Ultimate dla WordPress (wersje do 5.13.3 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez shortcode su_meta i dane meta wpisów. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo użytkowników i integralność witryny. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji webowej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shortcodes Ultimate u dostawcy i wdrożenie najnowszej wersji eliminującej podatność. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i oczyszczenie danych meta w postach, aby usunąć potencjalne złośliwe skrypty.