Wrażliwość Stored XSS w wtyczce WS Theme Addons dla WordPress

Co wiadomo

Wtyczka WS Theme Addons dla WordPress do wersji 2.0.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode ws_weather. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, deface'u strony lub innych ataków na użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WS Theme Addons i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference