Analityczne wykorzystywanie plików cookies
CVE-2023-7154: luka Stored XSS w wtyczce Hubbub Lite dla WordPress
Wtyczka Hubbub Lite przed 1.32.0 umożliwia ataki Stored XSS przez administratorów, nawet przy wyłączonym unfiltered_html. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 4.8 MEDIUM
- EPSS
- 36%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- hubbub lite
Co wiadomo
Wtyczka Hubbub Lite (dawniej Grow Social) dla WordPress w wersjach przed 1.32.0 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.
Wpływ biznesowy
Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny oraz danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka nadal pozwala na eskalację ataku, zwiększając ryzyko naruszenia. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS i danych użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Hubbub Lite i ich zastosowanie. W przypadku braku natychmiastowej aktualizacji, ograniczenie dostępu do kont o wysokich uprawnieniach oraz przegląd logów pod kątem podejrzanej aktywności jest wskazane. Dodatkowo warto rozważyć audyt konfiguracji multisite i polityk uprawnień, aby zminimalizować ryzyko wykorzystania luki.