CVE-2023-6941: luka XSS w wtyczce Keap Official Opt-in Forms dla WordPress

Co wiadomo

Wtyczka Keap Official Opt-in Forms do WordPressa w wersjach do 1.0.11 nie oczyszcza poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka pozwala na wstrzyknięcie złośliwego kodu przez uprawnionych użytkowników, co może prowadzić do przejęcia sesji, deface'u strony lub innych działań szkodliwych dla integralności i reputacji serwisu. W środowiskach multisite, gdzie unfiltered_html jest zwykle zablokowane, zagrożenie może być niedostatecznie zauważone, zwiększając ryzyko ataku.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Keap Official Opt-in Forms i ich instalację. W przypadku braku łatki, ogranicz uprawnienia użytkowników do minimum niezbędnego do działania oraz monitoruj logi pod kątem podejrzanej aktywności. Dodatkowo rozważ wdrożenie mechanizmów filtrowania i sanitizacji danych wprowadzanych przez użytkowników.

Źródła

• NVD
• Reference