CVE-2023-47786

As versões do LayerSlider até a 7.7.9 inclusive carregam uma falha de cross-site scripting: entrada não sanitizada alcança uma página e executa como script no navegador de um visitante. Por ser um plugin do WordPress, o payload roda no contexto do site afetado e, com uma mudança de escopo, pode alcançar além do componente imediato. A exploração exige uma conta de baixo privilégio e um usuário para interagir, então é condicional, e não um comprometimento direto do servidor.

A leitura ponderada é que XSS armazenado ou refletido em um plugin é uma ameaça de sessão e conteúdo, não uma tomada não autenticada. Entregue contra um administrador, pode sequestrar ações privilegiadas; contra visitantes comuns, permite defacement, redirecionamentos ou roubo de credenciais no navegador. Isso é significativo, mas fica abaixo dos bugs de upload de arquivos e injeção em plugins que dão ao atacante código no servidor sem interação alguma.

Nosso ângulo é inventário atrelado a uma classificação proporcional. Plugins do WordPress são difíceis de rastrear porque são instalados por site pelos próprios donos, então enumeramos onde o LayerSlider roda e em qual versão contra o teto 7.7.9 — e então o mantemos em sua classificação média, sem escalá-lo. A detecção de script anômalo na saída renderizada pelo plugin e a atualização imediata o encerram sem deslocar os itens de maior severidade da fila.