Luka XSS w wtyczce Memberlite Shortcodes dla WordPress

Co wiadomo

Wtyczka Memberlite Shortcodes dla WordPress do wersji 1.3.9 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode memberlite_accordion. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Memberlite Shortcodes do wersji po 1.3.9, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode memberlite_accordion. Regularnie przeglądaj komunikaty producenta wtyczki w celu uzyskania poprawek.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference