Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Structured Content (JSON-LD) #wpsc dla WordPress przed wersją 1.7.0
Wtyczka Structured Content #wpsc WordPress przed 1.7.0 umożliwia ataki Stored XSS użytkownikom z rolą współpracownika i wyższą. Zalecana aktualizacja.
- CVSS
- 5.4 MEDIUM
- EPSS
- 6.53%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Structured Content (JSON-LD) #wpsc dla WordPress w wersjach przed 1.7.0 nieprawidłowo waliduje i nie zabezpiecza niektórych opcji bloków przed ich wyświetleniem, co umożliwia użytkownikom z rolą współpracownika i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).
Wpływ biznesowy
Atakujący z uprawnieniami współpracownika mogą wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany u innych użytkowników odwiedzających stronę, co może prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Zagrożenie to wpływa na bezpieczeństwo witryn opartych na WordPress korzystających z tej wtyczki.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Structured Content (JSON-LD) #wpsc do wersji 1.7.0 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularne przeglądy i audyty bezpieczeństwa są wskazane.