Уразливість Stored XSS у плагіні Magic Embeds для WordPress

Що відомо

Плагін Magic Embeds для WordPress версій до 3.1.2 не перевіряє та не екранує деякі атрибути шорткоду перед виводом, що дозволяє користувачам з роллю «співавтор» і вище виконувати атаки типу Stored Cross-Site Scripting.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів сайту, що ставить під загрозу безпеку даних і довіру до ресурсу. Власники сайтів на WordPress, які використовують цей плагін, можуть зіткнутися з компрометацією облікових записів або поширенням шкідливого контенту.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Magic Embeds до версії 3.1.2 або новішої, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити права користувачів, які можуть додавати шорткоди, переглянути журнали на предмет підозрілої активності та мінімізувати експозицію вразливих сторінок.

Джерела

• NVD
• Reference