Analityczne wykorzystywanie plików cookies
WP-Strava: podatność Stored XSS w ustawieniach administratora w wersjach do 2.12.1
Podatność Stored XSS w wtyczce WP-Strava do WordPressa do wersji 2.12.1 umożliwia ataki przez administratorów w instalacjach multisite i z wyłączonym unfiltered_html.
- CVSS
- 6.1 MEDIUM
- EPSS
- 27.03%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP-Strava dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w ustawieniach administratora we wszystkich wersjach do 2.12.1 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonają się przy odwiedzeniu zainfekowanej strony, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszej eskalacji ataku. Wpływa to na bezpieczeństwo i integralność witryn opartych na WordPress z tą wtyczką.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP-Strava i jej instalację. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone. Priorytetowo traktuj monitorowanie i audyt uprawnień użytkowników.