Luka XSS w wtyczce WordPress tour master przed wersją 5.3.4

Co wiadomo

Wtyczka tour master dla WordPressa w wersjach przed 5.3.4 nie sanitizuje i nie ucieka niektórych parametrów podczas ich wyświetlania na stronie, co może umożliwić nieautoryzowanym użytkownikom przeprowadzenie ataków Cross-Site Scripting (XSS).

Wpływ biznesowy

Ataki XSS mogą prowadzić do kradzieży sesji użytkowników, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli ich witryny są publicznie dostępne i mają dużą liczbę odwiedzających.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki tour master do wersji 5.3.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz stosować dodatkowe mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference