WP Js List Pages Shortcodes podatny na przechowywany XSS przez atrybut 'class'

Co wiadomo

Wtyczka WP Js List Pages Shortcodes dla WordPressa do wersji 1.21 włącznie zawiera lukę przechowywanego Cross-Site Scripting (XSS) w atrybucie shortcode 'class'. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta pozwala na eskalację ataków XSS w środowiskach WordPress, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Js List Pages Shortcodes i jej aktualizację do najnowszej wersji. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference