Уразливість у плагіні Download Manager для WordPress дозволяє XSS-атаки

Що відомо

Плагін Download Manager для WordPress версій до 3.3.03 не очищує та не екранує деякі налаштування, що може дозволити користувачам з високими привілеями, наприклад адміністраторам, виконувати збережені XSS-атаки навіть за відсутності права unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в контексті сайту, що загрожує безпеці даних та довірі користувачів. Власники сайтів на базі WordPress з встановленим плагіном Download Manager повинні врахувати ризики, особливо у мультисайтових середовищах, де обмеження unfiltered_html не захищають від атак.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Download Manager до останньої версії, випущеної після 3.3.03. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, перевірити журнали на ознаки атак та зменшити експозицію плагіна. Також варто регулярно моніторити офіційні повідомлення розробника щодо безпекових оновлень.

Джерела

• NVD
• Reference