Luka XSS w wtyczce My IDX Home Search dla WordPress

Co wiadomo

Wtyczka My IDX Home Search dla WordPress do wersji 2.1.1 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'homeasap-idx-landing'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcjonalności shortcode 'homeasap-idx-landing'.

Źródła

• NVD
• Reference
• Reference
• Reference