Dua kerentanan (satu kritis) dalam plugin WordPress yang disebut Orbit Fox dapat memungkinkan penyerang memasukkan kode berbahaya ke situs web yang rentan dan / atau mengendalikan situs web.
Orbit Fox adalah plugin WordPress multi-fitur yang bekerja dengan utilitas pembuat situs Elementor, Beaver Builder dan Gutenberg. Ini memungkinkan administrator situs menambahkan fitur seperti formulir pendaftaran dan widget. Plugin, dari pengembang bernama ThemeIsle, telah diinstal oleh 400.000+ situs.
Menurut para peneliti di Wordfence, cacat pertama (CVE sedang menunggu) adalah cacat eskalasi hak istimewa yang diautentikasi yang membawa skor keparahan bug CVSS 9,9, membuatnya kritis. Penyerang terautentikasi dengan akses level kontributor atau lebih tinggi dapat meningkatkan status mereka menjadi administrator dan berpotensi mengambil alih situs WordPress.
Sementara itu, bug kedua adalah masalah pembuatan skrip lintas situs (XSS) tersimpan yang diautentikasi yang memungkinkan penyerang dengan akses tingkat kontributor atau pengarang untuk memasukkan JavaScript ke dalam posting. Injeksi ini dapat digunakan untuk mengarahkan pengunjung ke situs malvertising atau membuat pengguna administratif baru, di antara tindakan lainnya. Itu dinilai 6,4 pada skala CVSS, menjadikannya tingkat keparahan sedang.
sumber : ThreatPost
