Уразливість збереженого XSS у плагіні jsfiddle shortcode для WordPress

Що відомо

Плагін jsfiddle shortcode для WordPress версій до 1.1.3 не перевіряє та не екранує деякі атрибути шорткоду перед виведенням на сторінку, що дозволяє користувачам з роллю «співавтор» і вище виконувати атаки збереженого міжсайтового скриптингу (Stored XSS).

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру до ресурсу. Власники сайтів на WordPress, які використовують цей плагін, можуть зіткнутися з компрометацією облікових записів та порушенням роботи сервісів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін jsfiddle shortcode до версії 1.1.3 або новішої, де ця уразливість виправлена. Якщо оновлення неможливе, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності та мінімізувати використання шорткодів із ненадійними атрибутами.

Джерела

• NVD
• Reference