Wielokrotne wtyczki WordPress narażone na Stored Cross-Site Scripting przez Featherlight.js

Co wiadomo

Kilka wtyczek WordPress korzystających z biblioteki Featherlight.js (wersje 1.7.13 do 1.7.14) jest podatnych na ataki Stored Cross-Site Scripting z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron opartych na WordPress powinni zweryfikować używane wtyczki i ograniczyć ryzyko poprzez aktualizacje lub inne środki ochronne.

Rekomendowane działania administratora

Zaleca się sprawdzenie, które wtyczki korzystają z Featherlight.js w wersjach 1.7.13 do 1.7.14 i aktualizację ich do bezpiecznych wersji, jeśli są dostępne. W przypadku braku aktualizacji warto ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd zabezpieczeń i stosować zasady minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference