Analityczne wykorzystywanie plików cookies
Wrażliwość Stored Cross-Site Scripting w motywie ColorMag dla WordPress
Wykryto lukę XSS w motywie ColorMag WordPress do wersji 3.1.6. Sprawdź zalecenia dotyczące zabezpieczenia i aktualizacji.
- CVSS
- 6.4 MEDIUM
- EPSS
- 34.75%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Motyw ColorMag dla WordPress w wersjach do 3.1.6 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez pole Nazwa wyświetlana użytkownika. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu danych wyjściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Organizacje korzystające z motywu ColorMag powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu ColorMag u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS, takich jak Web Application Firewall.