CVE-2023-6498: podatność Stored XSS w wtyczce Complianz dla WordPress

Co wiadomo

Wtyczka Complianz – GDPR/CCPA Cookie Consent dla WordPress zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora we wszystkich wersjach do 6.5.5 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzyknąć i wykonać złośliwy kod JavaScript, co może prowadzić do przejęcia sesji użytkowników lub innych działań na stronie. Wpływa to na bezpieczeństwo i integralność witryny oraz dane użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Complianz i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Warto również zweryfikować konfigurację multisite i ustawienia unfiltered_html, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference