Уразливість Stored XSS у плагіні Payment Forms for Paystack для WordPress

Що відомо

Плагін Payment Forms for Paystack для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів користувацьких шорткодів, таких як 'datepicker', 'textarea' та 'text'. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або зміною контенту. Для власників інфраструктури це означає підвищений ризик атаки через довірені облікові записи, що може вплинути на репутацію та безпеку вебресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та оперативно їх застосувати. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче контриб'ютора, провести аудит журналів на предмет підозрілої активності та мінімізувати експозицію вразливих шорткодів на сайті.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference