Wielokrotne wtyczki WordPress podatne na Stored Cross-Site Scripting przez bibliotekę Magnific Popups 1.1.0

Co wiadomo

Kilka wtyczek WordPress korzystających z biblioteki Magnific Popups w wersji 1.1.0 jest podatnych na ataki Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, defraudacji danych lub dalszych ataków na użytkowników i administratorów witryny. Może to obniżyć zaufanie do serwisu i narazić na straty reputacyjne oraz finansowe.

Rekomendowane działania administratora

Zaleca się aktualizację biblioteki Magnific Popups do wersji 1.2.0 lub nowszej, w której domyślnie wyłączono ładowanie HTML w określonych polach. W przypadku braku możliwości natychmiastowej aktualizacji należy ograniczyć uprawnienia użytkowników, przeglądać logi pod kątem podejrzanej aktywności oraz monitorować i minimalizować ekspozycję podatnych wtyczek.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference