WP Company Info dla WordPress narażony na przechowywany XSS w atrybucie klasy shortcode social-networks

Co wiadomo

Wtyczka WP Company Info dla WordPress do wersji 1.9.0 włącznie posiada lukę typu przechowywany Cross-Site Scripting (XSS) w atrybucie 'class' shortcode 'social-networks'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na eskalację ataku XSS przez użytkowników z uprawnieniami współpracownika i wyższymi, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach WordPress z wieloma użytkownikami i aktywną współpracą może to wpłynąć na integralność i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Company Info u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współpracownika i wyższego oraz monitoruj logi pod kątem podejrzanych działań. Rozważ przegląd i oczyszczenie zawartości shortcode 'social-networks' pod kątem potencjalnych wstrzyknięć.

Źródła

• NVD
• Reference
• Reference