Luka Stored Cross-Site Scripting w wtyczce TableOn dla WordPress

Co wiadomo

Wtyczka TableOn – WordPress Posts Table Filterable jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'tableon_button' w wersjach do 1.0.4.4 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach shortcode, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Kontrybutora.

Wpływ biznesowy

Atakujący z dostępem na poziomie Kontrybutora lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków XSS w środowiskach WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki TableOn u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference