Luka wtyczki Simple Lightbox WordPress umożliwiająca ataki XSS

Co wiadomo

Wtyczka Simple Lightbox dla WordPressa w wersjach przed 2.9.4 nieprawidłowo waliduje i nie zabezpiecza niektórych atrybutów przed wyświetleniem, co pozwala użytkownikom z rolą współautora i wyższą na przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atakujący posiadający uprawnienia współautora lub wyższe mogą wstrzykiwać złośliwy kod JavaScript, który będzie przechowywany i wykonywany u innych użytkowników odwiedzających stronę. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo i integralność serwisu WordPress. Zagrożenie to jest szczególnie istotne dla stron z wieloma współpracownikami i publicznym dostępem do treści.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Simple Lightbox do wersji 2.9.4 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto przeprowadzić przegląd i weryfikację wprowadzanych treści przez użytkowników z uprawnieniami edycyjnymi.

Źródła

• NVD
• Reference