Analityczne wykorzystywanie plików cookies
WP BBCode do WordPressa podatny na przechowywany XSS w shortcode 'url'
WP BBCode do WordPressa do 1.8.1 ma lukę XSS w shortcode 'url', umożliwiającą wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 11.92%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP BBCode dla WordPressa do wersji 1.8.1 włącznie ma lukę przechowywanego Cross-Site Scripting (XSS) w shortcode 'url' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzenia zainfekowanej strony.
Wpływ biznesowy
Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie dotyczy właścicieli stron korzystających z tej wtyczki, którzy powinni zweryfikować swoje środowisko i ograniczyć ryzyko.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP BBCode i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna kontrola i audyt bezpieczeństwa środowiska WordPress jest wskazana.