Уразливість Stored XSS у плагіні robo gallery для WordPress

Що відомо

У плагіні Rbs Image Gallery (robo gallery) для WordPress версій до 3.2.22 не відбувається належна санітизація та екранування деяких налаштувань, що дозволяє користувачам з високими привілеями, наприклад, контриб'юторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в контексті сайту, що загрожує компрометацією облікових записів, викраденням сесій або іншими атаками на користувачів. Власники сайтів на WordPress, які використовують цей плагін, особливо в мультисайтових середовищах, повинні враховувати ризики, пов’язані з підвищеними привілеями користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна robo gallery від розробника robosoft і встановити останню версію. Якщо оновлення недоступне, слід обмежити права користувачів, які можуть змінювати налаштування плагіна, провести аудит журналів безпеки на предмет підозрілої активності та розглянути тимчасове відключення плагіна в разі підозри на експлуатацію уразливості.

Джерела

• NVD
• Reference