Analytical use of cookies
Уразливість у плагіні Shortcodes Ultimate для WordPress (CVE-2023-6488)
CVE-2023-6488: Stored XSS у плагіні Shortcodes Ultimate дозволяє впроваджувати скрипти користувачам з правами контриб'ютора і вище.
- CVSS
- 5.4 MEDIUM
- EPSS
- 38.25%
- Активно використовується
- немає в KEV
- Продукт
- shortcodes ultimate
Що відомо
Плагін Shortcodes Ultimate для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів у шорткодах 'su_button', 'su_members' та 'su_tabs' у версіях до 7.0.0 включно. Атакувальники з правами не нижче рівня контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Ця уразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати довготривалі скрипти на сайтах, що може призвести до компрометації сесій користувачів, викрадення даних або інших атак через браузер. Власники сайтів і оператори ІТ-інфраструктури повинні розглядати цю загрозу як середнього рівня, особливо якщо плагін активно використовується для створення контенту.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Shortcodes Ultimate від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит журналів на предмет підозрілої активності, а також зменшити експозицію сайту шляхом обмеження введення користувачів і застосування додаткових засобів захисту веб-додатків.