CVE-2023-6877: Уразливість Stored XSS у плагіні RSS Aggregator by Feedzy для WordPress

Що відомо

Плагін RSS Aggregator by Feedzy для WordPress має уразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітизацію поля Content-Type у повідомленнях про помилки при обробці некоректних RSS-стрічок. Зловмисники з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді заражених сторінок.

Бізнес-вплив

Уразливість дозволяє автентифікованим користувачам із правами контриб’ютора і вище впроваджувати довготривалі скрипти, що можуть викрадати сесійні дані або виконувати небажані дії від імені користувачів. Це підвищує ризик компрометації сайту та негативно впливає на довіру користувачів і безпеку контенту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника themeisle та встановити їх у першу чергу. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит логів на ознаки експлуатації, а також мінімізувати експозицію сайту до потенційних атак шляхом контролю введення і валідації RSS-стрічок.

Джерела

• NVD
• Reference
• Reference