Analityczne wykorzystywanie plików cookies
CVE-2023-6594: luka XSS w wtyczce MaxButtons dla WordPress
Wtyczka MaxButtons do WordPress ma lukę XSS umożliwiającą ataki w instalacjach multisite. Sprawdź aktualizacje i ogranicz uprawnienia administracyjne.
- CVSS
- 4.4 MEDIUM
- EPSS
- 24.23%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- maxbuttons
Co wiadomo
Wtyczka MaxButtons dla WordPress do wersji 9.7.4 zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i ucieczki danych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony, co może prowadzić do przejęcia sesji, defacementu lub innych działań szkodliwych dla witryny i jej użytkowników. Luka jest szczególnie istotna w środowiskach multisite oraz tam, gdzie użytkownicy o niższych uprawnieniach mają możliwość tworzenia przycisków, co może rozszerzyć zakres potencjalnych ataków.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MaxButtons i ich wdrożenie. W międzyczasie ogranicz uprawnienia do tworzenia przycisków tylko do zaufanych administratorów oraz przejrzyj logi pod kątem podejrzanych działań. Warto również rozważyć ograniczenie dostępu do panelu administracyjnego i monitorowanie instalacji multisite pod kątem nietypowych zmian.