Luka wtyczki Master Slider WordPress umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka Master Slider dla WordPress w wersjach przed 3.10.5 nie sanitizuje i nie zabezpiecza niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami (Editor i wyżej) na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w środowisku multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników, co zagraża bezpieczeństwu danych i integralności serwisu. W środowiskach WordPress z wieloma użytkownikami o podwyższonych uprawnieniach istnieje ryzyko eskalacji ataku, co może wpłynąć na reputację i stabilność platformy CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Master Slider do wersji 3.10.5 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, ogranicz dostęp użytkowników do ról z wysokimi uprawnieniami oraz monitoruj logi pod kątem podejrzanej aktywności. Warto także przejrzeć konfigurację uprawnień i rozważyć dodatkowe zabezpieczenia środowiska WordPress.

Źródła

• NVD
• Reference