Luka Stored Cross-Site Scripting w wtyczce LuckyWP Table of Contents

Co wiadomo

Wtyczka LuckyWP Table of Contents dla WordPressa do wersji 2.1.4 włącznie zawiera lukę typu Stored Cross-Site Scripting w polu 'Header Title' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Luka umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka dotyczy instalacji wielostanowiskowych oraz tych, gdzie wyłączono opcję unfiltered_html, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą danych sesji, manipulacją treścią strony lub innymi atakami skierowanymi na użytkowników i administratorów witryny. Wpływa to na bezpieczeństwo i integralność środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LuckyWP Table of Contents i ich zastosowanie. W przypadku braku łatki, należy ograniczyć uprawnienia administratorów, zweryfikować konfigurację unfiltered_html oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć audyt bezpieczeństwa instalacji WordPressa i wtyczek.

Źródła

• NVD
• Reference
• Reference
• Reference