Luka XSS w wtyczce WordPress Get Use APIs do wersji 2.0.10

Co wiadomo

Wtyczka WordPress Get Use APIs w wersjach przed 2.0.10 wykonuje importowany JSON, co może umożliwić użytkownikom z rolą co najmniej współpracownika przeprowadzenie ataków Cross-Site Scripting (XSS) w określonych konfiguracjach serwera. Luka ma średnią ocenę CVSS 5.9.

Wpływ biznesowy

Atakujący z niskimi uprawnieniami mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny zweryfikować swoje środowiska pod kątem potencjalnej ekspozycji i ryzyka.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Get Use APIs do wersji 2.0.10 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników z rolą współpracownika oraz monitoruj logi serwera pod kątem podejrzanych działań. Przegląd konfiguracji serwera i wdrożenie mechanizmów ochrony przed XSS również mogą pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference