CVE-2023-6456: Luka XSS w wtyczce WP Review Slider

Co wiadomo

Wtyczka WP Review Slider dla WordPressa w wersjach przed 13.0 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia kontroli nad witryną lub kradzieży danych użytkowników. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w przypadku witryn z wieloma użytkownikami o wysokich uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Review Slider do wersji 13.0 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanych działań. Przegląd i ograniczenie możliwości wprowadzania nieprzefiltrowanego HTML w ustawieniach wtyczki również może zmniejszyć ryzyko.

Źródła

• NVD
• Reference