Уразливість у плагіні User Submitted Posts для WordPress дозволяє зберігання XSS

Що відомо

Плагін User Submitted Posts для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode [usp_gallery] у версіях до 20230811 включно. Недостатня санітизація та екранування вхідних атрибутів, таких як 'before', дозволяє автентифікованим користувачам з рівнем прав не нижче контриб’ютора впроваджувати шкідливі скрипти.

Бізнес-вплив

Ця уразливість може бути використана для впровадження шкідливих скриптів на сторінках сайту, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на довіру користувачів і безпеку сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних і порушенням роботи ресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна User Submitted Posts від розробника та встановити їх у разі доступності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно контролювати введення даних через shortcode [usp_gallery], а також переглянути журнали безпеки на предмет підозрілої активності. Важливо також розглянути тимчасове відключення плагіна до усунення уразливості.

Джерела

• NVD
• Reference
• Reference