Analityczne wykorzystywanie plików cookies
WP Customer Area: podatność XSS w atrybucie shortcode 'type'
Podatność XSS w wtyczce WP Customer Area do wersji 8.3.5 umożliwia wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami Contributor i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.75%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Customer Area dla WordPressa do wersji 8.3.5 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'type' shortcode'u 'customer-area-protected-content'. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Może to wpłynąć na bezpieczeństwo danych oraz zaufanie klientów korzystających z serwisu WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Customer Area i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego shortcode'u. Regularne przeglądy i audyty bezpieczeństwa są wskazane.