Analityczne wykorzystywanie plików cookies
Luka Stored Cross-Site Scripting w wtyczce Threepress dla WordPress
Wtyczka Threepress do WordPress ma lukę XSS umożliwiającą ataki przez shortcode 'threepress'. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.6%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- threepress
Co wiadomo
Wtyczka Threepress dla WordPress do wersji 1.7.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'threepress'. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych przekazywanych w atrybutach, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Threepress u jej dostawcy oraz ich wdrożenie. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić przegląd i oczyszczenie stron z potencjalnie wstrzykniętych skryptów.