Lottie Player dla WordPress podatny na przechowywany XSS przez upload plików

Co wiadomo

Wtyczka Lottie Player dla WordPress do wersji 1.1.8 włącznie zawiera lukę umożliwiającą przechowywany atak Cross-Site Scripting poprzez niewystarczającą sanitację i eskapowanie danych przy uploadzie plików. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas dostępu użytkowników do załadowanych plików.

Wpływ biznesowy

Luka ta stwarza ryzyko wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni zwrócić uwagę na potencjalne narażenie witryn WordPress korzystających z tej wtyczki oraz na możliwość eskalacji ataku przez użytkowników z uprawnieniami autora i wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Lottie Player i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych aktywności związanych z uploadem plików. Warto również przeprowadzić przegląd i oczyszczenie istniejących plików przesłanych przez użytkowników z uprawnieniami autora i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference