کشف آسیب‌پذیری در افزونه RSS Aggregato وردپرس
RSS Aggregator یک افزونه وردپرس است که به عنوان یک جمع‌آوری‌کننده RSS قدرتمند طراحی شده است. از ویژگی‌های اصلی آن می‌توان به مدیریت محتوا، وبلاگ نویسی خودکار، import RSS، تجمیع اخبار و امکان نمایش RSS feeds نامحدود در وب‌سایت‌های وردپرس اشاره‌کرد.
دو آسیب‌پذیری با شناسه‌های CVE-2023-6801 و شدت متوسط (6.4) و CVE-2023-6798 با شدت متوسط (5.4) در این افزونه شناسایی شده است.
در آسیب‌پذیری CVE-2023-6801، افزونه RSS Aggregator به دلیل عدم پاکسازی مناسب ورودی و خروجی در admin settings در برابر اسکریپت بین سایتی ذخیره شده (XSS) آسیب‌پذیر است. مهاجم احراز هویت شده با دسترسی‌ای مانند نویسنده یا بالاتر می‌تواند اسکریپت‌های مخرب وب را تزریق کرده تا هر زمان که کاربر به صفحه دسترسی پیدا کرد، اسکریپت‌ها اجرا شوند.
در نقص CVE-2023-6798 افزونه RSS Aggregator به دلیل عدم بررسی کافی قابلیت به‌روزرسانی تنظیمات، در برابر بروزرسانی تنظیمات غیرمجاز، آسیب‌پذیر است. مهاجم احرازهویت شده با دسترسی‌ای مانند نویسنده یا بالاتر می‌تواند تنظیمات افزونه، از جمله تنظیمات حساس proxy را تغییر دهد.
محصولات تحت تأثیر
تمام نسخه‌های افزونه RSS Aggregator از جمله Feedzy – Feed to Post، Autoblogging و News & YouTube Video Feeds Aggregator تا قبل از نسخه 4.3.3 در برابر نقص‌های امنیتی مذکور، آسیب‌پذیر هستند.
توصیه‌های امنیتی
کاربران می‌توانند RSS Aggregator را به نسخه 4.3.3 یا نسخه وصله شده جدیدتر به‌روزرسانی کنند.