Analityczne wykorzystywanie plików cookies
Luka Stored Cross-Site Scripting w wtyczce Ultimate TinyMCE dla WordPress
Podatność Stored XSS w wtyczce Ultimate TinyMCE do WordPress umożliwia atakującym z uprawnieniami Contributor wstrzyknięcie złośliwego kodu. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.24%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ultimate tinymce
Co wiadomo
Wtyczka Ultimate TinyMCE dla WordPress do wersji 5.7 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'field' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem na poziomie Współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszej eskalacji uprawnień. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Ultimate TinyMCE i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego do pracy, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Warto także rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.