Wrażliwość Stored Cross-Site Scripting w wtyczce Biagiotti Core dla WordPress

Co wiadomo

Wtyczka Biagiotti Core dla WordPress w wersjach do 2.1.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa witryny. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków wewnętrznych i utraty zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Biagiotti Core i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode. Regularna weryfikacja i audyt bezpieczeństwa CMS jest wskazana.

Źródła

• NVD
• Reference
• Reference