WordPress Infinite Scroll – Ajax Load More: podatność XSS w atrybucie data-button-label

Co wiadomo

Wtyczka WordPress Infinite Scroll – Ajax Load More do wersji 7.4.0.1 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut HTML data-button-label. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z odpowiednimi uprawnieniami wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataku i wpływ na bezpieczeństwo danych oraz użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowych.

Źródła

• NVD
• Reference
• Reference