Luka XSS w wtyczce Geocache Stat Bar Widget dla WordPress

Co wiadomo

Wtyczka Geocache Stat Bar Widget do WordPressa w wersjach do 0.911 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html, np. w środowiskach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub dalszych ataków na użytkowników. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko pozostaje istotne, co może wpłynąć na integralność i bezpieczeństwo witryny oraz danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. Do czasu aktualizacji warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. W środowiskach multisite należy zweryfikować konfigurację uprawnień i rozważyć dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference