Analityczne wykorzystywanie plików cookies
Wrażliwość Stored XSS w wtyczce Formidable Kinetic dla WordPress
Wtyczka Formidable Kinetic do WordPress ma podatność Stored XSS w shortcode 'kinetic_link', umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 8.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Formidable Kinetic dla WordPress do wersji 1.1.01 jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'kinetic_link'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach shortcode, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przez odwiedzających strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie takiej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Formidable Kinetic u jej dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'kinetic_link'.