Luka XSS w wtyczce Tiled Gallery Carousel Without JetPack dla WordPress

Co wiadomo

Wtyczka Tiled Gallery Carousel Without JetPack dla WordPress do wersji 3.1 włącznie jest podatna na przechowywany atak cross-site scripting (XSS) poprzez parametr 'data-image-title'. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress, wpływając negatywnie na zaufanie użytkowników i reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tiled Gallery Carousel Without JetPack i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współpracownik oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS oraz przeprowadzić audyt bezpieczeństwa witryny.

Źródła

• NVD
• Reference
• Reference