Analytical use of cookies
Уразливість Stored Cross-Site Scripting у плагіні Newsletter для WordPress
Плагін Newsletter для WordPress до версії 7.8.9 містить Stored XSS у shortcode 'newsletter_form'. Рекомендується оновлення та обмеження доступу.
- CVSS
- 6.4 MEDIUM
- EPSS
- 35.75%
- Активно використовується
- немає в KEV
- Продукт
- newsletter
Що відомо
Плагін Newsletter для WordPress версій до 7.8.9 включно містить уразливість Stored Cross-Site Scripting через shortcode 'newsletter_form' через недостатню санітизацію введених даних. Це дозволяє автентифікованим користувачам з рівнем доступу contributor і вище впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Для власників інфраструктури це означає потенційні ризики компрометації даних та репутаційні втрати. ІТ-операторам слід враховувати цей ризик при управлінні плагінами WordPress і контролювати права доступу користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Newsletter від розробника та застосувати їх у разі доступності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливого функціоналу. Пріоритезуйте виправлення цієї уразливості у планах безпеки.