Analityczne wykorzystywanie plików cookies
CVE-2023-7233: luka XSS w wtyczce GigPress dla WordPress
Wtyczka GigPress do WordPressa do wersji 2.3.29 umożliwia ataki Stored XSS przez administratorów, nawet przy wyłączonym unfiltered_html.
- CVSS
- 4.8 MEDIUM
- EPSS
- 37.14%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- gigpress
Co wiadomo
Wtyczka GigPress do WordPressa w wersjach do 2.3.29 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.
Wpływ biznesowy
Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i danych użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataku lub przejęcia kontroli nad stroną. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż ograniczenia unfiltered_html nie chronią przed tym zagrożeniem.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GigPress i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć audyt konfiguracji multisite i wprowadzenie środków zapobiegawczych minimalizujących ryzyko XSS.