WP Data Access: podatność XSS w shortcode 'wpda_app' do wersji 5.5.63

Co wiadomo

Wtyczka WP Data Access dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'wpda_app' we wszystkich wersjach do 5.5.63 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Data Access i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niepozwalającego na korzystanie z shortcode 'wpda_app', przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nieautoryzowanych zmian.

Źródła

• NVD
• Reference
• Reference