Luka XSS w wtyczce MG AdvancedOptions dla WordPress

Co wiadomo

Wtyczka MG AdvancedOptions dla WordPress do wersji 1.2 włącznie jest podatna na refleksyjne ataki Cross-Site Scripting (XSS) poprzez zmienną $_SERVER['PHP_SELF']. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonają się w przeglądarce użytkownika po kliknięciu w spreparowany link. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie ogranicz ekspozycję wtyczki, monitoruj logi pod kątem podejrzanych żądań i edukuj użytkowników, aby nie klikali w podejrzane linki. Priorytetyzuj działania zabezpieczające w środowiskach, gdzie wtyczka jest używana.

Źródła

• NVD
• Reference
• Reference
• Reference