CVE-2023-6986: podatność Stored XSS w wtyczce EmbedPress dla WordPress

Co wiadomo

Wtyczka EmbedPress do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode embed_oembed_html we wszystkich wersjach do 3.9.5 (wyłączając). Luka wynika z niewystarczającej sanitacji i eskapowania danych wejściowych od użytkowników, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami użytkowników i monitorować nietypowe zachowania.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki EmbedPress do wersji 3.9.5 lub nowszej, jeśli dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników do minimum niezbędnego oraz przeprowadź przegląd logów pod kątem podejrzanych działań. Dodatkowo warto monitorować i filtrować dane wejściowe oraz rozważyć zastosowanie mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference