Wrażliwość Stored XSS w wtyczce Slideshow Gallery LITE dla WordPress

Co wiadomo

Wtyczka Slideshow Gallery LITE dla WordPress do wersji 1.8.5 zawiera lukę Stored Cross-Site Scripting (XSS) poprzez atrybut shortcode 'alwaysauto'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Slideshow Gallery LITE i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji edycji dla użytkowników z uprawnieniami Contributor i wyższymi, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference