Уразливість Leyka WordPress плагіна дозволяє XSS-атаки для адміністраторів

Що відомо

Плагін Leyka для WordPress версій до 3.30.4 не очищує належним чином деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати збережені Cross-Site Scripting (XSS) атаки навіть при забороні можливості unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів з правами адміністратора, що ставить під загрозу безпеку сайту та конфіденційність даних. Власники інфраструктури повинні врахувати ризики компрометації облікових записів з високими привілеями та потенційного впливу на цілісність вебресурсу.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Leyka до версії 3.30.4 або новішої, якщо це можливо. Якщо оновлення недоступне, слід обмежити доступ до налаштувань плагіна лише довіреним адміністраторам, перевірити журнали на наявність підозрілої активності та розглянути можливість тимчасового відключення плагіна у мультисайтових середовищах. Загалом, слід регулярно перевіряти оновлення від виробника та мінімізувати експозицію вразливих компонентів.

Джерела

• NVD
• Reference