Wrażliwość Stored Cross-Site Scripting w wtyczce Layers dla WordPress

Co wiadomo

Wtyczka Layers dla WordPress do wersji 0.5 jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'webcam' z powodu niewystarczającej sanitizacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Ta luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i właścicieli witryn. Może to obniżyć zaufanie do serwisu i narazić na ryzyko dane użytkowników.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki Layers i rozważyć aktualizację do nowszej, wolnej od tej podatności wersji, jeśli jest dostępna. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i filtrowanie danych wejściowych. Warto również rozważyć tymczasowe wyłączenie shortcode 'webcam' do czasu załatania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference