Luka XSS w wtyczce Spiritual Gifts Survey (i opcjonalnej S.H.A.P.E Survey) dla WordPress

Co wiadomo

Wtyczka Spiritual Gifts Survey (oraz opcjonalna S.H.A.P.E Survey) do WordPressa w wersji do 0.9.10 nie filtruje poprawnie parametrów przed ich wyświetleniem, co umożliwia atak typu Reflected Cross-Site Scripting (XSS) skierowany do niezalogowanych użytkowników.

Wpływ biznesowy

Atak XSS może pozwolić na wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji lub manipulacji zawartością strony. Zagrożenie dotyczy głównie niezalogowanych użytkowników, jednak może wpłynąć na reputację serwisu i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do funkcji wtyczki dla niezalogowanych użytkowników, monitorować logi serwera pod kątem podejrzanych żądań oraz rozważyć wdrożenie mechanizmów ochrony przed XSS, takich jak Content Security Policy (CSP).

Źródła

• NVD
• Reference