Уразливість Stored XSS у плагіні WordPress url params до версії 2.5

Що відомо

Плагін WordPress url params версій до 2.5 не перевіряє та не екранує деякі атрибути шорткоду перед виведенням, що дозволяє користувачам з роллю contributor і вище виконувати атаки типу Stored Cross-Site Scripting.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів сайту, що загрожує компрометацією облікових записів та викраденням сесій. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна url params від розробника jeremyshapiro та встановити їх. Якщо оновлення недоступні, слід обмежити права користувачів до ролей нижчих за contributor, провести аудит логів на ознаки атак та мінімізувати використання вразливих шорткодів.

Джерела

• NVD
• Reference