CVE-2023-7070: podatność XSS w wtyczce Email Encoder dla WordPress

Co wiadomo

Wtyczka Email Encoder – Protect Email Addresses and Phone Numbers dla WordPress do wersji 2.1.9 zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode eeb_mailto. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych poprzez wykonanie złośliwego kodu w przeglądarce. Operatorzy stron wykorzystujących tę wtyczkę powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa użytkowników i integralności serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode eeb_mailto. Priorytetem jest szybka reakcja w celu minimalizacji ryzyka wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference