Luka wtyczki Popup Builder WordPress umożliwiająca ataki XSS

Co wiadomo

Wtyczka Popup Builder dla WordPressa w wersjach przed 4.3.5 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne, co wymaga uwagi zespołów IT i administratorów.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Popup Builder do wersji 4.3.5 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przejrzeć konfigurację multisite i rozważyć wprowadzenie dodatkowych zabezpieczeń przed XSS.

Źródła

• NVD
• Reference