Luka XSS w wtyczce Easy Prism Syntax Highlighter dla WordPress

Co wiadomo

Wtyczka Easy Prism Syntax Highlighter do WordPressa w wersjach do 1.0.2 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'code' i 'c'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przez innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy Prism Syntax Highlighter i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji shortcode dla użytkowników z uprawnieniami współpracownika i wyższymi, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference