Luka w goodlayers core umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka goodlayers-core dla WordPressa w wersjach przed 2.0.10 nie sanitizuje i nie zabezpiecza niektórych ustawień, co pozwala użytkownikom z rolą współtwórcy i wyższą na przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników, co zagraża bezpieczeństwu danych i integralności serwisu. Organizacje korzystające z tej wtyczki mogą doświadczyć naruszenia poufności informacji oraz utraty zaufania użytkowników. W przypadku środowisk z wieloma użytkownikami o podwyższonych uprawnieniach ryzyko eskalacji ataku jest większe.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki goodlayers-core do wersji 2.0.10 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji warto ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd i weryfikacja ustawień wtyczki pod kątem potencjalnych podatności jest również wskazana.

Źródła

• NVD
• Reference