CVE-2023-6446: luka XSS w wtyczce Calculated Fields Form dla WordPress

Co wiadomo

Wtyczka Calculated Fields Form dla WordPress do wersji 1.2.40 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Luka ta pozwala uwierzytelnionym użytkownikom z uprawnieniami administratora na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do wykonania złośliwego kodu w panelu administracyjnym, co może prowadzić do przejęcia kontroli nad witryną lub eskalacji uprawnień. Wpływa to na bezpieczeństwo danych i stabilność środowiska WordPress.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Calculated Fields Form u dostawcy oraz ich szybkie wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference