Analityczne wykorzystywanie plików cookies
Wrażliwość Stored XSS w wtyczce Insert Pages dla WordPress
Wtyczka Insert Pages WordPress do 3.11.4 ma lukę Stored XSS przez niestandardowe pola. Sprawdź aktualizacje i zabezpiecz stronę przed atakami.
- CVSS
- 6.4 MEDIUM
- EPSS
- 11.51%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Insert Pages dla WordPress do wersji 3.11.4 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez klucze niestandardowych pól postów. Luka wynika z braku odpowiedniego filtrowania kluczy pól podczas renderowania stron z użyciem shortcode [insert page='ID' display='all'].
Wpływ biznesowy
Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Luka ma średni poziom ryzyka (CVSS 6.4).
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Insert Pages i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji edycji stron tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS na poziomie aplikacji lub serwera.