Wielokrotne XSS w wtyczce VK All in One Expansion Unit dla WordPress

Co wiadomo

Wtyczka VK All in One Expansion Unit dla WordPress do wersji 9.112.1 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametry 'vkExUnit_cta_url' i 'vkExUnit_cta_button_text'. Błąd logiczny w funkcji zapisu CTA powoduje brak sanitizacji danych, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań zagrażających bezpieczeństwu użytkowników i integralności witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki VK All in One Expansion Unit i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji CTA. Regularna weryfikacja i audyt bezpieczeństwa wtyczek WordPress jest kluczowa dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference