Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Ketchup Shortcodes dla WordPress
Wtyczka Ketchup Shortcodes do WordPress ma lukę XSS w shortcode 'spacer', umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 15.23%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ketchup shortcodes
Co wiadomo
Wtyczka Ketchup Shortcodes do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'spacer' w wersjach do 0.1.2 włącznie. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich stron WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ketchup Shortcodes u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS, takich jak Web Application Firewall (WAF).