Analityczne wykorzystywanie plików cookies
Wrażliwość Stored XSS w wtyczce XX2WP Integration Tools dla WordPress
Podatność Stored XSS w wtyczce XX2WP Integration Tools dla WordPress umożliwia ataki przez shortcode 'mxp_fb2wp_display_embed'. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.38%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka XX2WP Integration Tools dla WordPress do wersji 1.9.9 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'mxp_fb2wp_display_embed'. Problem wynika z niewłaściwej sanitacji parametru 'post_id', co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań naruszających bezpieczeństwo i integralność serwisu WordPress. Właściciele infrastruktury powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki XX2WP Integration Tools i jej aktualizację do wersji po usunięciu podatności. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji wykorzystującej shortcode 'mxp_fb2wp_display_embed'.