Уразливість у плагіні Page Builder: Pagelayer для WordPress (CVE-2023-7115)

Що відомо

Плагін Page Builder: Pagelayer для WordPress версій до 1.8.1 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими привілеями, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть при забороні можливості unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів сайту, що ставить під загрозу безпеку даних і довіру до ресурсу. Власники сайтів на базі WordPress з плагіном pagelayer повинні врахувати ризики, особливо у випадках мультисайтових інсталяцій, де обмеження unfiltered_html не захищають від атак.

Рекомендовані дії адміністратора

Рекомендується оновити плагін pagelayer до версії 1.8.1 або новішої, якщо це можливо. Якщо оновлення наразі недоступне, слід обмежити права користувачів з високими привілеями, перевірити журнали безпеки на ознаки атак, а також розглянути додаткові заходи з фільтрації введених даних. Важливо регулярно моніторити оновлення від розробника плагіна.

Джерела

• NVD
• Reference