Уразливість у плагіні Popup box для WordPress дозволяє зберігати XSS-атаки

Що відомо

Плагін Popup box для WordPress версій до 3.8.6 не очищує та не екранує деякі налаштування, що може дозволити користувачам з високими правами, наприклад адміністраторам, виконувати збережені Cross-Site Scripting (XSS) атаки навіть при забороні можливості unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в контексті сайту, що загрожує безпеці користувачів і цілісності вебресурсу. Для власників сайтів на WordPress, які використовують цей плагін, існує ризик компрометації адміністративних сесій та потенційного впливу на довіру користувачів. Важливо своєчасно оцінити використання плагіна та вжити заходів для зниження ризиків.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Popup box до версії 3.8.6 або новішої, якщо доступна. Якщо оновлення неможливе, слід обмежити права користувачів, перевірити налаштування безпеки WordPress, особливо у мультисайтових конфігураціях, та моніторити логи на предмет підозрілої активності. Загалом, варто регулярно перевіряти наявність оновлень від виробника та застосовувати їх для мінімізації ризиків.

Джерела

• NVD
• Reference