Уразливість Stored Cross-Site Scripting у плагіні iframe для WordPress

Що відомо

Плагін iframe для WordPress до версії 5.0 включно має уразливість Stored Cross-Site Scripting через недостатню санітаризацію та екранування атрибутів шорткоду. Це дозволяє автентифікованим користувачам з правами не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що підвищує ризик крадіжки сесій, фішингу або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, можуть зазнати репутаційних втрат і порушень безпеки даних. ІТ-оператори повинні врахувати цей ризик при управлінні плагінами та контролі доступу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна iframe від розробника і застосувати їх у першу чергу. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, особливо для ролей контриб’ютора і вище. Також варто провести аудит журналів безпеки на предмет підозрілої активності та зменшити експозицію вразливих сторінок.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference