Luka XSS w wtyczce Taskbuilder WordPress przed wersją 5.0.8

Co wiadomo

Wtyczka Taskbuilder dla WordPressa w wersjach przed 5.0.8 nieprawidłowo oczyszcza parametr URL przed wstrzyknięciem go do skryptu JavaScript na stronie frontendowej z shortcode, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Luka może zostać wykorzystana przeciwko każdemu zalogowanemu użytkownikowi.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu JavaScript w kontekście przeglądarki zalogowanego użytkownika, co może prowadzić do kradzieży sesji, manipulacji danymi lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa użytkowników i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Taskbuilder i jej instalację do wersji 5.0.8 lub nowszej. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do funkcji wykorzystujących shortcode tej wtyczki oraz monitorować logi pod kątem podejrzanych aktywności. Warto również przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa aplikacji webowej.

Źródła

• NVD
• Reference