Wrażliwość Stored XSS w wtyczce Simple Plyr dla WordPress

Co wiadomo

Wtyczka Simple Plyr dla WordPress do wersji 0.0.1 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'poster' w shortcode 'plyr'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem do panelu WordPress na poziomie Współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu. Może to prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Simple Plyr i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja bezpieczeństwa i edukacja użytkowników są kluczowe.

Źródła

• NVD
• Reference
• Reference