Tune Library WordPress Plugin podatny na Stored Cross-Site Scripting przez import CSV

Co wiadomo

Wtyczka Tune Library dla WordPressa do wersji 1.6.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez import plików CSV. Luka wynika z braku odpowiedniej sanitacji i ucieczki danych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami Subskrybenta i wyższymi.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Luka ta może narazić witrynę na utratę zaufania użytkowników oraz potencjalne naruszenia bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tune Library i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji importu CSV do zaufanych użytkowników oraz monitoruj logi serwera pod kątem podejrzanych działań. Przeprowadź przegląd uprawnień użytkowników i rozważ zastosowanie dodatkowych mechanizmów filtrowania i walidacji importowanych danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference