CVE-2023-6268: podatność Reflected Cross-Site Scripting w wtyczce JSON Content Importer dla WordPress

Co wiadomo

Wtyczka JSON Content Importer dla WordPress w wersjach przed 1.5.4 nie sanitizuje i nie ucieka parametru 'tab' przed wyświetleniem na stronie, co prowadzi do podatności Reflected Cross-Site Scripting (XSS). Atak może być wymierzony w użytkowników o wysokich uprawnieniach, takich jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może skutkować przejęciem kontroli nad panelem zarządzania witryną WordPress. Może to prowadzić do nieautoryzowanych zmian w konfiguracji, publikacji złośliwych treści lub dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki JSON Content Importer do wersji 1.5.4 lub nowszej, w której podatność została załatana. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wtyczek WordPress.

Źródła

• NVD
• Reference