Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Panorama dla WordPressa do wersji 1.5.1
Wtyczka Panorama WordPress do 1.5.1 umożliwia ataki Stored XSS przez administratorów, nawet gdy unfiltered_html jest wyłączone. Zalecana aktualizacja.
- CVSS
- 4.8 MEDIUM
- EPSS
- 18.32%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- panorama
Co wiadomo
Wtyczka Panorama dla WordPressa do wersji 1.5.1 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla witryny i jej użytkowników. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, luka ta nadal pozostaje aktywna, zwiększając ryzyko naruszenia bezpieczeństwa.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Panorama do wersji nowszej niż 1.5.1, w której luka została załatana. W przypadku braku dostępnej aktualizacji, należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przejrzeć konfigurację multisite i rozważyć dodatkowe mechanizmy filtrowania treści.