Luka w GDPR Framework Data443 umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka GDPR Framework firmy Data443 dla WordPressa w wersjach przed 2.2.0 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwy kod JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i integralności witryny. W środowiskach multisite, gdzie unfiltered_html jest zwykle zablokowane, ryzyko jest nadal obecne, co zwiększa zagrożenie dla wielu podmiotów zarządzanych w ramach jednej instalacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki GDPR Framework do wersji 2.2.0 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji, należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przejrzeć konfigurację multisite i rozważyć dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference