Analityczne wykorzystywanie plików cookies
CVE-2023-6488: luka XSS w wtyczce Shortcodes Ultimate dla WordPress
Wtyczka Shortcodes Ultimate do WordPress ma lukę XSS umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy. Sprawdź aktualizacje i zabezpiecz stronę.
- CVSS
- 5.4 MEDIUM
- EPSS
- 38.25%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- shortcodes ultimate
Co wiadomo
Wtyczka Shortcodes Ultimate dla WordPress (wersje do 7.0.0 włącznie) jest podatna na trwały Cross-Site Scripting (XSS) poprzez shortcode'y 'su_button', 'su_members' i 'su_tabs'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress, wpływając negatywnie na reputację i zaufanie użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shortcodes Ultimate u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanej aktywności i rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetowo traktuj audyt i aktualizację wtyczek WordPress.