WP BookWidgets: podatność Stored XSS w shortcode 'bw_link' do wersji 0.9

Co wiadomo

Wtyczka WP BookWidgets dla WordPressa do wersji 0.9 zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode 'bw_link' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, defacementu strony lub innych ataków na użytkowników odwiedzających zainfekowane strony. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP BookWidgets i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'bw_link' lub całej wtyczki. Regularnie przeglądaj i audytuj zawartość generowaną przez użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference