LUNA RADIO PLAYER dla WordPress podatny na Stored XSS w shortcode 'lunaradio'

Co wiadomo

Wtyczka LUNA RADIO PLAYER dla WordPress do wersji 6.24.11.07 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'lunaradio' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. Może to obniżyć zaufanie do serwisu oraz narazić na straty reputacyjne i potencjalne naruszenia danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LUNA RADIO PLAYER i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'lunaradio'. Regularnie przeglądaj i audytuj uprawnienia użytkowników.

Źródła

• NVD
• Reference
• Reference