Luka XSS w wtyczce Video Grid dla WordPress (CVE-2023-7295)

Co wiadomo

Wtyczka Video Grid dla WordPress do wersji 1.21 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr search_term. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy stron korzystających z podatnej wersji wtyczki, szczególnie jeśli użytkownicy są zachęcani do kliknięcia spreparowanych linków.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki Video Grid i zaktualizować ją do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie ekspozycji podatnego parametru, monitorowanie logów pod kątem podejrzanych żądań oraz edukację użytkowników w zakresie unikania podejrzanych linków. Priorytetem jest szybka reakcja na potencjalne incydenty związane z tą luką.

Źródła

• NVD
• Reference
• Reference