CVE-2023-6530: luka XSS w wtyczce TJ Shortcodes dla WordPress

Co wiadomo

Wtyczka TJ Shortcodes do WordPressa w wersjach do 0.1.3 nieprawidłowo obsługuje atrybuty shortcode, co umożliwia użytkownikom z rolą współtwórcy i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript na stronach lub postach, gdzie użyto shortcode, co zagraża bezpieczeństwu użytkowników i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży danych sesji lub przejęcia kontroli nad kontem. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki TJ Shortcodes u dostawcy. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i aktualizacje komponentów WordPressa są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference