CVE-2023-6993: Luka XSS w wtyczce Custom post types, Custom Fields & more dla WordPress

Co wiadomo

Wtyczka Custom post types, Custom Fields & more dla WordPress do wersji 5.0.4 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode i niestandardowe meta postów z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współautora i wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i administratorów. Może to obniżyć zaufanie do serwisu oraz narazić na ryzyko dane użytkowników i integralność witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference