Уразливість у плагіні Calculated Fields Form для WordPress

Що відомо

Плагін Calculated Fields Form для WordPress версій до 1.1.151 не очищує та не екранує деякі налаштування форм, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності можливості unfiltered_html.

Бізнес-вплив

Ця уразливість може призвести до впровадження шкідливого коду на сайтах, що використовують плагін, що ставить під загрозу безпеку веб-ресурсу та даних користувачів. Особливо це актуально для мультисайтних установок WordPress, де обмеження unfiltered_html не захищає від атак. Адміністратори повинні врахувати ризики компрометації та потенційного втручання у роботу сайту.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Calculated Fields Form до останньої версії, випущеної розробником. Якщо оновлення наразі недоступне, слід обмежити права користувачів з високими привілеями, перевірити журнали на наявність підозрілої активності та розглянути тимчасове відключення плагіна. Загалом, слід регулярно переглядати оновлення безпеки від розробника та мінімізувати експозицію вразливих компонентів.

Джерела

• NVD
• Reference