Wrażliwość Stored XSS w wtyczce Social Feed Gallery Portfolio dla WordPress

Co wiadomo

Wtyczka Social Feed Gallery Portfolio dla WordPress do wersji 1.3 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'id' shortcode [igp-wp]. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defraudacji danych lub dalszych ataków na użytkowników witryny. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Social Feed Gallery Portfolio i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode [igp-wp]. Regularnie monitoruj i priorytetyzuj działania zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference