Luka XSS w wtyczce Postie dla WordPress przed wersją 1.9.71

Co wiadomo

Wtyczka Postie dla WordPress w wersjach przed 1.9.71 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzyknąć złośliwy kod JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne, co wymaga uwagi ze strony operatorów IT.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Postie do wersji 1.9.71 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd i weryfikacja ustawień wtyczki oraz polityk bezpieczeństwa multisite również są wskazane.

Źródła

• NVD
• Reference