Вразливість у популярному плагіні WordPress робить вразливими понад 2 млн. сайтів

Дослідники безпеки з компанії Patch­stack, що спеціалізується на безпеці платформи Word­Press, виявили вразливість у плагіні Advanced Cus­tom Fields (ACF) для Word­Press, яка дає змогу провести XSS-атаку.

XSS-вразливість CVE-2023–30777, пов’язана з міжсайтовим скриптингом (Reflect­ed XSS), який дає змогу впроваджувати довільні виконувані скрипти на цільові сайти.

За даними Patch­stack, проблема дає змогу неаутентифікованому зловмиснику вкрасти конфіденційну інформацію і підвищити привілеї на сайті Word­Press, обманом змусивши привілейованого користувача відвідати створену URL-адресу.

Варто зазначити, що CVE-2023–30777 можна активувати під час стандартного встановлення або налаштування Advanced Cus­tom Fields, хоча це можливо тільки для користувачів, які увійшли в систему і мають доступ до плагіна. Плагін Advanced Cus­tom Fields встановлено на понад 2 млн. сайтів. Проблему було виявлено і доведено до відома команди розробки 2 травня. Користувачам плагіна рекомендується оновити версію 6.1.6.