Analityczne wykorzystywanie plików cookies
Wrażliwość Stored XSS w wtyczce Network Posts Extended dla WordPress
Wtyczka Network Posts Extended WordPress do 7.7.1 podatna na Stored XSS przez 'post_height'. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 16.87%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Network Posts Extended dla WordPress do wersji 7.7.1 zawiera lukę Stored Cross-Site Scripting (XSS) w parametrze 'post_height', umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów na strony. Skrypty te wykonują się przy każdym dostępie do zainfekowanej strony.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę. Zagrożenie to wymaga uwagi administratorów WordPress, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Network Posts Extended i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.