Luka XSS w wtyczce Yet Another WebClap dla WordPress

Co wiadomo

Wtyczka Yet Another WebClap dla WordPress do wersji 0.2 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez parametr 'text' shortcode webclap_button. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Wpływa to na bezpieczeństwo witryny i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji shortcode webclap_button tylko do zaufanych użytkowników, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj audyt i monitorowanie bezpieczeństwa witryny.

Źródła

• NVD
• Reference
• Reference
• Reference