Wrażliwość Stored XSS w wtyczce Event Organiser dla WordPress do wersji 3.12.9

Co wiadomo

Wtyczka Event Organiser dla WordPress jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 3.12.9 włącznie. Luka wynika z braku odpowiedniego filtrowania zawartości parametru 'no_events' w shortcode 'eo_events', co pozwala na wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron WordPress powinni zwrócić uwagę na tę lukę, aby uniknąć potencjalnych incydentów bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Event Organiser u jej dostawcy oraz ich wdrożenie. W przypadku braku natychmiastowej poprawki, ograniczenie dostępu do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności jest wskazane. Dodatkowo warto przeprowadzić audyt uprawnień użytkowników i usunąć zbędne konta z poziomem dostępu Contributor lub wyższym.

Źródła

• NVD
• Reference
• Reference