CVE-2024-0903: podatność Stored Cross-Site Scripting w wtyczce User Feedback dla WordPress

Co wiadomo

Wtyczka User Feedback – Create Interactive Feedback Form, User Surveys, and Polls in Seconds dla WordPress do wersji 1.0.13 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i eskapowanie wartości 'link' w polu 'page_submitted'. Atakujący może wstrzyknąć złośliwy skrypt, który uruchomi się po kliknięciu linku przez użytkownika z wciśniętym klawiszem command.

Wpływ biznesowy

Podatność ta umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście strony WordPress, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Zagrożenie jest szczególnie istotne dla operatorów stron korzystających z tej wtyczki, ponieważ atak może być przeprowadzony bez uwierzytelnienia.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki User Feedback i zaktualizować ją do najnowszej dostępnej wersji, jeśli taka została wydana. W przypadku braku aktualizacji zaleca się ograniczenie ekspozycji formularzy feedbacku, monitorowanie logów pod kątem podejrzanych aktywności oraz priorytetowe traktowanie tej podatności w procesie zarządzania ryzykiem.

Źródła

• NVD
• Reference
• Reference