CVE-2023-6591: luka XSS w wtyczce Popup Box dla WordPress

Co wiadomo

Wtyczka Popup Box dla WordPress w wersjach przed 20.9.0 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków Cross-Site Scripting (XSS), nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny. Atakujący mogą wykorzystać tę podatność do przejęcia sesji, manipulacji treścią lub eskalacji uprawnień, co wpływa na stabilność i reputację infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Popup Box do wersji 20.9.0 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń XSS.

Źródła

• NVD
• Reference