CVE-2023-6938: podatność Stored Cross-Site Scripting w Oxygen Builder dla WordPress

Co wiadomo

Wtyczka Oxygen Builder do WordPressa w wersjach do 4.8 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez niestandardowe pola, wynikający z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Może to skutkować kradzieżą sesji, przejęciem kont użytkowników lub innymi atakami typu phishing. Operatorzy stron korzystających z Oxygen Builder powinni traktować tę lukę jako istotne zagrożenie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Oxygen Builder do wersji 4.8.1 lub nowszej, która wprowadza opcjonalny filtr zapewniający poprawny escaping danych dynamicznych. W przypadku braku możliwości aktualizacji, należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto zapoznać się z dokumentacją producenta dotyczącą filtrowania danych dynamicznych pod adresem https://oxygenbuilder.com/documentation/other/security/#filtering-dynamic-data.

Źródła

• NVD
• Reference
• Reference