Analytical use of cookies
Уразливість Stored XSS у плагіні Newsletters для WordPress
Плагін Newsletters для WordPress уразливий до Stored XSS через newsletters_video shortcode. Рекомендується оновлення та обмеження доступу.
- CVSS
- 6.4 MEDIUM
- EPSS
- 29.22%
- Активно використовується
- немає в KEV
- Продукт
- newsletters
Що відомо
Плагін Newsletters для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через шорткод newsletters_video у версіях до 4.9.9.4 включно. Недостатня санітизація та екранування введених користувачем атрибутів дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Ця уразливість може призвести до виконання шкідливих скриптів на сайті, що загрожує безпеці користувачів і цілісності вебресурсу. Зловмисники можуть викрадати сесії, змінювати контент або перенаправляти користувачів на шкідливі сайти. Власники інфраструктури повинні врахувати ризики компрометації даних та репутаційні втрати.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Newsletters від розробника tribulant і застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації, а також зменшити експозицію сайту. Важливо регулярно моніторити безпекові оновлення та впроваджувати заходи захисту від XSS.