Luka XSS w wtyczce Infomaniak Connect for OpenID dla WordPress

Co wiadomo

Wtyczka Infomaniak Connect for OpenID dla WordPress do wersji 1.0.2 zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'endpoint_login' shortcode'u infomaniak_connect_generic_auth_url. Luka umożliwia atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor lub wyższym mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Zagrożenie to wymaga uwagi administratorów stron korzystających z tej wtyczki, aby zapobiec potencjalnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Infomaniak Connect for OpenID i jej zainstalowanej wersji. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd i oczyszczenie wszelkich danych wejściowych oraz wyjściowych w aplikacji, aby zminimalizować ryzyko XSS.

Źródła

• NVD
• Reference
• Reference
• Reference