Уразливість Stored XSS у плагіні Simple Download Counter для WordPress

Що відомо

Плагін Simple Download Counter для WordPress версій до 1.6 включно містить уразливість Stored Cross-Site Scripting через недостатню санітизацію та екранування атрибутів shortcode, таких як 'before' і 'after'. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайтах, що використовують плагін, що ставить під загрозу безпеку користувачів і може спричинити компрометацію даних або сесій. Для власників інфраструктури це означає потенційні ризики втрати довіри користувачів та необхідність реагування на інциденти безпеки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Simple Download Counter від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію сайту. Важливо також інформувати команду безпеки про потенційні ризики.

Джерела

• NVD
• Reference
• Reference