Analityczne wykorzystywanie plików cookies
CVE-2023-6624: podatność XSS w wtyczce Import and Export Users and Customers dla WordPress
Podatność XSS w wtyczce WordPress Import and Export Users and Customers do wersji 1.24.3 umożliwia ataki przez shortcode'y. Zalecana aktualizacja i ograniczenie uprawnień.
- CVSS
- 4.9 MEDIUM
- EPSS
- 27.74%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- import and export users and customers
Co wiadomo
Wtyczka Import and Export Users and Customers dla WordPress do wersji 1.24.3 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode'y, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy i wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Właściciele stron opartych na WordPress powinni zweryfikować użycie tej wtyczki i ocenić ryzyko związane z potencjalnym atakiem XSS.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomogą ograniczyć ryzyko.