Analityczne wykorzystywanie plików cookies
WPFAQBlock – podatność Stored XSS w parametrze 'class' shortcode'u
Wtyczka WPFAQBlock dla WordPress ma lukę Stored XSS w parametrze 'class'. Zalecane aktualizacje i ograniczenie uprawnień użytkowników.
- CVSS
- 6.4 MEDIUM
- EPSS
- 15.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WPFAQBlock – FAQ & Accordion dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'class' shortcode'u 'wpfaqblock' we wszystkich wersjach do 1.1 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzyknąć złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Wpływa to negatywnie na integralność i zaufanie do serwisu.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie ograniczyć prawa użytkowników do minimum niezbędnego do działania. Przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania. Priorytetyzować działania naprawcze zgodnie z ryzykiem.