Analityczne wykorzystywanie plików cookies
CVE-2023-6290: Luka XSS w wtyczce SEOPress dla WordPress
Wtyczka SEOPress przed wersją 7.3 umożliwia ataki XSS przez administratorów. Zalecana aktualizacja i ograniczenie uprawnień.
- CVSS
- 4.8 MEDIUM
- EPSS
- 32.86%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- seopress
Co wiadomo
Wtyczka SEOPress dla WordPress w wersjach przed 7.3 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków Cross-Site Scripting (XSS), nawet gdy opcja unfiltered_html jest wyłączona.
Wpływ biznesowy
Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków wewnętrznych oraz możliwe naruszenia danych. Wdrożenie aktualizacji lub ograniczenie dostępu do kont o wysokich uprawnieniach jest kluczowe dla minimalizacji zagrożenia.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SEOPress i jej instalację do wersji 7.3 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi systemowe pod kątem podejrzanych działań. Dodatkowo, należy przeprowadzić przegląd konfiguracji zabezpieczeń i polityk dostępu.