Luka XSS w wtyczce Webpushr Push Notifications dla WordPress

Co wiadomo

Wtyczka Webpushr Push Notifications dla WordPress w wersjach do 4.39.0 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametry 'webpushr_notification_title' i 'webpushr_notification_body'. Luka wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego escapingu wyjścia, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników i infrastrukturę IT. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Webpushr Push Notifications i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji powiadomień. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku związanym z XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference