WP Nano AD: podatność Stored XSS w parametrze blogrole_link

Co wiadomo

Wtyczka WP Nano AD dla WordPressa do wersji 1.31 włącznie zawiera podatność typu Stored Cross-Site Scripting w parametrze 'blogrole_link'. Pozwala to administratorom na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwy kod, co może prowadzić do przejęcia sesji użytkowników lub innych działań na poziomie przeglądarki. Może to wpłynąć na bezpieczeństwo i zaufanie użytkowników oraz stabilność witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Nano AD i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference