Вразливість Stored XSS у плагіні Auto Location for WP Job Manager via Google

Що відомо

Плагін Auto Location for WP Job Manager via Google для WordPress версій до 1.1 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html.

Бізнес-вплив

Ця вразливість може призвести до виконання шкідливого коду у браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру до ресурсу. Особливо це критично для мультисайтових установок, де обмеження unfiltered_html не захищає від атак. Власникам сайтів слід врахувати ризики компрометації облікових записів та потенційного впливу на репутацію.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Auto Location for WP Job Manager via Google до останньої версії, де вразливість усунена. Якщо оновлення наразі недоступне, слід обмежити права користувачів, перевірити налаштування безпеки, провести аудит логів на наявність підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризиків.

Джерела

• NVD
• Reference