Luka XSS w wtyczce Snow Monkey Blocks dla WordPress

Co wiadomo

Wtyczka Snow Monkey Blocks dla WordPress do wersji 24.1.11 jest podatna na trwały atak Cross-Site Scripting (XSS) poprzez atrybut 'data-slick'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i administratorów witryny. Może to obniżyć zaufanie do serwisu i narazić na straty reputacyjne oraz potencjalne naruszenia bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Snow Monkey Blocks i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd zabezpieczeń i edukację użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference