在發現安全漏洞后，安全人員敦促WordPress高級自定義插件的用戶更新版本6.1.6。

該漏洞被標識為 CVE-2023-30777，與反射式跨站點腳本 （XSS） 的情況有關，該漏洞可被濫用向其他良性網站注入任意可執行腳本。

該插件有免費和專業兩個版本，有超過兩百萬的安裝。該漏洞于2023年5月2日被發現并報告給維護人員。

Patchstack研究員Rafie Muhammad說：該漏洞允許任何未經認證的用戶竊取敏感信息，在這種情況下，通過誘使有特權的用戶訪問特制的URL路徑，在WordPress網站上進行特權升級。

反射式XSS攻擊通常發生在，受害者被騙點擊電子郵件或其他途徑發送的假鏈接，導致惡意代碼被發送到易受攻擊的網站，該網站將攻擊反射到用戶的瀏覽器上。

這種社會工程元素意味著反射式XSS不具有與存儲式XSS攻擊相同的覆蓋范圍和規模，因此攻擊者將惡意鏈接分發給盡可能多的受害者。

Imperva指出：反射式XSS攻擊通常是由于傳入的請求沒有得到充分的凈化，從而允許操縱網絡應用程序的功能和激活惡意腳本。

值得注意的是，CVE-2023-30777可以在Advanced Custom Fields的默認安裝或配置上激活，盡管只有對該插件有訪問權限的登錄用戶才有可能這樣做。

Craft CMS修補了兩個中等強度的XSS漏洞（CVE-2023-30177和CVE-2023-31144），攻擊者可以利用這些漏洞提供惡意的有效載荷。

此外，cPanel 產品中還披露了另一個 XSS 漏洞（CVE-2023-29489，CVSS 分數：6.1），該漏洞可以在沒有任何身份驗證的情況下被利用來運行任意 JavaScript。

Assetnote的Shubham Shah說：攻擊者不僅可以攻擊cPanel的管理端口，還可以攻擊運行在80和443端口的應用程序。

參考鏈接：https://thehackernews.com/2023/05/new-vulnerability-in-popular-wordpress.html