Analytical use of cookies
Уразливість Stored XSS у плагіні RSS Feed Widget для WordPress
Виявлено Stored XSS у плагіні RSS Feed Widget для WordPress (до версії 2.9.9). Рекомендується оновлення та обмеження доступу користувачів.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.56%
- Активно використовується
- немає в KEV
- Продукт
- rss feed widget
Що відомо
Плагін RSS Feed Widget для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode rfw-youtube-videos у версіях до 2.9.9 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Уразливість може бути використана для впровадження шкідливих скриптів, що загрожує компрометацією даних користувачів, викраденням сесій або поширенням шкідливого коду через сайти на WordPress. Це створює ризики для безпеки вебресурсів та довіри користувачів, особливо якщо доступ до редагування мають кілька користувачів.
Рекомендовані дії адміністратора
Адміністраторам рекомендується перевірити наявність оновлень плагіна RSS Feed Widget від розробника fahadmahmood та встановити їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та моніторити журнали на ознаки підозрілої активності. Рекомендується також розглянути тимчасове відключення плагіна до усунення вразливості.