Уразливість Stored XSS у плагіні my sticky elements для WordPress

Що відомо

Плагін my sticky elements для WordPress версії до 2.1.2 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів сайту, що загрожує компрометацією облікових записів та порушенням цілісності даних. Особливо це критично для мультисайтових установок WordPress, де обмеження unfiltered_html не захищають від атак. Власники сайтів повинні враховувати ризики для безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін my sticky elements до версії 2.1.2 або новішої, де уразливість усунена. Якщо оновлення неможливе, слід обмежити права користувачів, перевірити журнали на ознаки атак, а також розглянути тимчасове відключення плагіна. Загалом, слід регулярно переглядати оновлення від виробника та мінімізувати експозицію вразливих компонентів.

Джерела

• NVD
• Reference