Уразливість Stored XSS у плагіні Cookie Notice для WordPress (CVE-2022-3399)

Що відомо

Плагін Cookie Notice & Compliance для GDPR/CCPA у WordPress версій до 2.4.17.1 містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметра cookie_notice_options[refuse_code_head]. Це дозволяє адміністраторам впроваджувати довільні скрипти, які виконуються при доступі до сторінки адміністрування.

Бізнес-вплив

Уразливість може бути використана адміністраторами зловмисниками для впровадження шкідливих скриптів у багатосайтових інсталяціях WordPress або там, де вимкнено unfiltered_html. Це створює ризик компрометації облікових записів користувачів та порушення цілісності сайту, що може призвести до втрати довіри користувачів та додаткових витрат на відновлення.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до сторінки адміністрування, перевірити журнали на ознаки експлуатації уразливості, а також розглянути можливість тимчасового відключення плагіна або функції unfiltered_html для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference