Уразливість Stored XSS у плагіні WordPress happyforms до версії 1.26.3

Що відомо

Плагін WordPress happyforms до версії 1.26.3 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими привілеями, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності можливості unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів, що ставить під загрозу безпеку вебсайту та довіру клієнтів. Власники та оператори інфраструктури повинні враховувати ризики компрометації облікових записів з високими правами та потенційні наслідки для цілісності даних і репутації.

Рекомендовані дії адміністратора

Рекомендується оновити плагін happyforms до останньої версії, що містить виправлення. Якщо оновлення наразі неможливе, слід обмежити доступ користувачів з високими привілеями, перевірити журнали на наявність підозрілої активності та мінімізувати можливості виконання небезпечних скриптів. Також варто регулярно переглядати оновлення від розробника плагіна.

Джерела

• NVD
• Reference