Уразливість Stored XSS у плагіні EventON для WordPress

Що відомо

Плагін EventON для WordPress версії до 2.2 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності можливості unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів з високими правами, що потенційно дозволяє зловмисникам викрадати сесії, змінювати налаштування сайту або поширювати шкідливий контент. Власники сайтів на базі WordPress із встановленим плагіном EventON повинні врахувати ризики для безпеки та цілісності своїх ресурсів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін EventON до версії 2.2 або новішої, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності та зменшити експозицію сайту. Також варто регулярно перевіряти оновлення від розробника плагіна.

Джерела

• NVD
• Reference