WP ULike: podatność Stored XSS w atrybucie shortcode 'template'

Co wiadomo

Wtyczka WP ULike dla WordPressa do wersji 5.0.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut 'template' shortcode'u [wp_ulike_likers_box]. Atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć złośliwy kod, który wykonuje się przy odwiedzeniu strony z polubieniem.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem Contributor lub wyższym wstrzyknięcie złośliwych skryptów, które mogą przejąć sesje użytkowników lub manipulować zawartością strony. Może to prowadzić do naruszenia integralności i zaufania do serwisu, a także potencjalnych strat wizerunkowych i operacyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki WP ULike do wersji po 5.0.1, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode'u [wp_ulike_likers_box]. Regularnie przeglądaj i weryfikuj zawartość stron z polubieniami pod kątem nieautoryzowanych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference