CVE-2023-6684: podatność Stored XSS w wtyczce Ibtana dla WordPress

Co wiadomo

Wtyczka Ibtana – WordPress Website Builder do wersji 1.2.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'ive'. Problem wynika z niewystarczającej sanitacji i escapingu atrybutów 'width' i 'height', co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Właściciele stron powinni traktować tę lukę jako średniego ryzyka, szczególnie w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ibtana u dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt zawartości stron pod kątem potencjalnych wstrzyknięć skryptów. Priorytetowo traktować aktualizacje i ograniczenia dostępu w środowiskach produkcyjnych.

Źródła

• NVD
• Reference
• Reference
• Reference