Analityczne wykorzystywanie plików cookies
CVE-2023-6809: podatność Stored XSS w wtyczce Custom Fields Shortcode dla WordPress
Wtyczka Custom Fields Shortcode dla WordPress do wersji 0.1 ma podatność Stored XSS, umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 33.85%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- custom fields shortcode
Co wiadomo
Wtyczka Custom Fields Shortcode dla WordPress do wersji 0.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode cf. Problem wynika z niewystarczającej sanitacji i escapingu danych wprowadzanych przez użytkowników na poziomie meta postów.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów witryny.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki, ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie witryny pod kątem nietypowych zachowań. Warto także rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.