Уразливість WP Post Popup дозволяє XSS-атаки для адміністраторів

Що відомо

Плагін WP Post Popup для WordPress версії до 3.7.3 не очищує належним чином деякі вхідні дані, що може дозволити користувачам з високими правами, наприклад адміністраторам, виконувати збережені Cross-Site Scripting (XSS) атаки навіть при відсутності можливості unfiltered_html.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в контексті сайту, що загрожує безпеці користувачів і цілісності контенту. Власники сайтів на базі WordPress з плагіном WP Post Popup повинні врахувати ризики, особливо у мультисайтових середовищах, де обмеження unfiltered_html не захищають від цієї атаки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Post Popup від розробника allurewebsolutions і застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів з високими привілеями, провести аудит журналів безпеки на наявність підозрілої активності та зменшити експозицію плагіна в мережі.

Джерела

• NVD
• Reference