CVE-2023-6970: podatność Reflected Cross-Site Scripting w wtyczce WP Recipe Maker

Co wiadomo

Wtyczka WP Recipe Maker dla WordPressa do wersji 9.1.0 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez nagłówek 'Referer'. Niewystarczająca sanitacja i ucieczka danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które mogą zostać wykonane po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży danych sesji, przejęcia konta użytkownika lub innych działań wykonywanych w kontekście przeglądarki ofiary, co stanowi zagrożenie dla bezpieczeństwa witryny i jej użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko, zwłaszcza jeśli witryna obsługuje uwierzytelnionych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Recipe Maker u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć ekspozycję serwisu na ataki XSS poprzez stosowanie mechanizmów ochronnych, takich jak Content Security Policy (CSP), oraz monitorować logi pod kątem podejrzanych żądań. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference