Wielokrotne XSS w wtyczce Featured Image from URL (FIFU) dla WordPress

Co wiadomo

Wtyczka Featured Image from URL (FIFU) dla WordPress do wersji 5.2.7 zawiera lukę typu Stored Cross-Site Scripting (XSS) w polach niestandardowych obrazów wyróżnionych. Luka pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarce innych użytkowników, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków. Właściciele stron WordPress korzystający z tej wtyczki powinni rozważyć ryzyko naruszenia bezpieczeństwa i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Featured Image from URL do najnowszej wersji dostępnej u producenta. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz stosować dodatkowe mechanizmy zabezpieczające przed XSS. Regularne przeglądy i testy bezpieczeństwa są wskazane.

Źródła

• NVD
• Reference
• Reference