Wielokrotne XSS w wtyczce Contextual Related Posts dla WordPress

Co wiadomo

Wtyczka Contextual Related Posts do WordPressa w wersjach do 4.2.1 ma lukę typu Stored Cross-Site Scripting (XSS) przez niewystarczające filtrowanie parametru 'other_attributes'. Atakujący z uprawnieniami współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia atakującym z poziomem dostępu współautora lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, manipulacji zawartością strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa witryny. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Contextual Related Posts do wersji po 4.2.1, w której luka została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowych.

Źródła

• NVD
• Reference
• Reference