Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce QuestionPro Surveys dla WordPress
Wtyczka QuestionPro Surveys WordPress do wersji 1.0 ma lukę XSS umożliwiającą ataki przez shortcode 'questionpro'. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.84%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka QuestionPro Surveys dla WordPress do wersji 1.0 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'questionpro'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współtwórcy.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji webowej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki QuestionPro Surveys i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'questionpro'. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomogą zmniejszyć ryzyko wykorzystania tej luki.