Luka XSS w wtyczce WordPress WoodPress Payment Plugin do wersji 5.1.4

Co wiadomo

Wtyczka WoodPress Payment Plugin dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode pafw_instant_payment. Luka wynika z niewystarczającej sanitacji i eskalacji danych wejściowych, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów na stronach serwisu, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Zagrożenie dotyczy wszystkich wersji wtyczki do 5.1.4 włącznie, co wymaga uwagi administratorów stron WordPress korzystających z tego rozwiązania.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode pafw_instant_payment, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference