WP GDPR Cookie Consent: podatność Stored XSS w wersjach do 1.0.0

Co wiadomo

Wtyczka WP GDPR Cookie Consent dla WordPressa do wersji 1.0.0 zawiera podatność typu Stored Cross-Site Scripting (XSS) poprzez akcję AJAX 'ninja_gdpr_ajax_actions'. Brak odpowiednich kontroli uprawnień i sanitizacji danych pozwala na wstrzyknięcie złośliwego kodu przez użytkowników z poziomem subskrybenta i wyższym.

Wpływ biznesowy

Atakujący z uprawnieniami subskrybenta mogą wstrzykiwać złośliwe skrypty, które będą wykonywane u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i prywatność użytkowników oraz reputację serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji AJAX do zaufanych użytkowników, przejrzeć logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo traktuj aktualizacje i monitoruj system pod kątem potencjalnych incydentów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference