CVE-2023-6954: podatność Stored Cross-Site Scripting w wtyczce Download Manager Pro dla WordPress

Co wiadomo

Wtyczka Download Manager Pro dla WordPress do wersji 3.2.85 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współpracownika lub wyższymi mogą wykorzystać tę lukę do eskalacji ataków, co stanowi ryzyko dla właścicieli i operatorów infrastruktury WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Download Manager Pro u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode'ów wrażliwych na atak. Priorytetowo traktuj ocenę ryzyka i weryfikację zabezpieczeń w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference