Уразливість Stored XSS у плагіні iurny для WordPress до версії 3.2.3

Що відомо

Плагін iurny для WordPress версій до 3.2.3 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть при забороні можливості unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру до ресурсу. Власники сайтів на базі WordPress з плагіном iurny повинні врахувати ризики компрометації через XSS-атаки, особливо у мультисайтових середовищах, де обмеження unfiltered_html не захищають від цієї загрози.

Рекомендовані дії адміністратора

Рекомендується оновити плагін iurny до останньої версії, в якій усунено цю уразливість. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, перевірити та очистити налаштування плагіна, а також моніторити журнали безпеки на предмет підозрілої активності. Загалом, слід регулярно перевіряти наявність оновлень від розробника та мінімізувати експозицію вразливих компонентів.

Джерела

• NVD
• Reference