WP Latest Posts do 5.0.11: podatność Stored XSS przez nieprawidłowe przetwarzanie atrybutów src obrazów

Co wiadomo

Wtyczka WP Latest Posts dla WordPressa w wersjach do 5.0.11 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez specjalnie spreparowane atrybuty src obrazów w treści postów. Problem wynika z niewystarczającego oczyszczania danych w funkcjach field() i loop(), co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami autora i wyższymi.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas przeglądania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Latest Posts i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić audyt treści postów pod kątem obecności złośliwych skryptów i rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference