Luka XSS w wtyczce Advanced Ads dla WordPressa przed wersją 2.0.23

Co wiadomo

Wtyczka Advanced Ads dla WordPressa w wersjach przed 2.0.23 nie oczyszcza i nie zabezpiecza parametrów shortcode przed wyświetleniem, co pozwala użytkownikom z rolą Współpracownika i wyższą na wstrzyknięcie złośliwych skryptów wykonywanych podczas przeglądania zawartości.

Wpływ biznesowy

Atakujący z uprawnieniami Współpracownika lub wyższymi mogą wykorzystać tę lukę do wykonania skryptów w kontekście przeglądarki innych użytkowników, w tym administratorów, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub eskalacji uprawnień. W środowiskach WordPress z wieloma użytkownikami i różnymi rolami luka ta stanowi poważne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Advanced Ads do wersji 2.0.23 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz przeglądać i weryfikować treści dodawane przez użytkowników z rolą Współpracownika i wyższą.

Źródła

• NVD
• Reference