Luka HTML Injection w wtyczce WordPress Advanced Custom Fields przed wersją 6.4.3

Co wiadomo

W wtyczce WordPress Advanced Custom Fields przed wersją 6.4.3 wykryto lukę HTML injection, która pozwala na wstrzyknięcie i wyświetlenie spreparowanego kodu HTML, co może prowadzić do manipulacji zawartością strony. Luka ma średni poziom zagrożenia (CVSS 4.6).

Wpływ biznesowy

Eksploatacja tej luki może skutkować wyświetlaniem nieautoryzowanego kodu HTML na stronach internetowych, co może wpłynąć na wiarygodność witryny oraz doświadczenie użytkowników. Administratorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko manipulacji treścią i potencjalne negatywne skutki dla reputacji oraz bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Advanced Custom Fields do wersji 6.4.3 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć ekspozycję podatnych funkcji, monitorować logi serwera pod kątem nietypowych działań oraz priorytetyzować wdrożenie poprawki.

Źródła

• NVD
• Reference
• Reference