Wrażliwość Stored XSS w wtyczce Coupon Plugin dla WordPress

Co wiadomo

Wtyczka Coupon Plugin dla WordPress do wersji 1.2.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'Coupon Code'. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Ta luka umożliwia atakującym eskalację ataków na użytkowników witryny poprzez wstrzykiwanie złośliwego kodu, co może prowadzić do kradzieży danych uwierzytelniających lub przejęcia sesji. Operatorzy stron opartych na WordPress powinni traktować tę podatność poważnie, zwłaszcza jeśli korzystają z wtyczki Coupon Plugin i mają wielu użytkowników z uprawnieniami współtwórcy lub wyższymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Coupon Plugin u jej dostawcy i wdrożenie najnowszej wersji. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd i oczyszczenie wprowadzonych kuponów z potencjalnie złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference