Wrażliwość Stored XSS w wtyczce Sell Media dla WordPress

Co wiadomo

Wtyczka Sell Media dla WordPress do wersji 2.5.8.5 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'sell_media_search_form_gutenberg'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo użytkowników i integralność serwisu. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko związane z dostępem użytkowników i potencjalnym wykorzystaniem luki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Sell Media i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziom współtwórcy i wyżej. Dodatkowo warto przejrzeć logi pod kątem podejrzanych działań oraz monitorować strony pod kątem nieautoryzowanych zmian i skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference