Wielokrotne XSS w wtyczce Endless Scroll dla WordPress

Co wiadomo

Wtyczka Endless Scroll dla WordPress do wersji 1.0.0 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez atrybuty shortcode z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami co najmniej na poziomie współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współautora i wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów witryny. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z serwisu opartego na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Endless Scroll u jej dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji shortcode tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej (WAF).

Źródła

• NVD
• Reference
• Reference
• Reference