Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Ultimate Dashboard dla WordPress
Wtyczka Ultimate Dashboard przed 3.8.6 umożliwia ataki Stored XSS przez administratorów. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 3.5 LOW
- EPSS
- 17.21%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ultimate dashboard
Co wiadomo
Wtyczka Ultimate Dashboard dla WordPress w wersjach przed 3.8.6 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu panelu zarządzania i może skutkować przejęciem kontroli nad stroną lub wyciekiem danych. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atak może wpłynąć na wiele witryn jednocześnie.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Ultimate Dashboard do wersji 3.8.6 lub nowszej udostępnionej przez autora. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy zweryfikować konfigurację multisite i rozważyć ograniczenie dostępu do ustawień wtyczki.