Вразливість Stored XSS у плагіні HIPAA Compliant Forms для WordPress

Що відомо

Плагін HIPAA Compliant Forms з функцією Drag’n’Drop для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів шорткоду 'hipaatizer' у версіях до 1.3.4 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при відкритті сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам впроваджувати довготривалі скрипти, що можуть викрадати сесійні дані користувачів або виконувати небажані дії від їх імені. Для власників сайтів на WordPress це підвищує ризик компрометації даних та зниження довіри користувачів. Особливо це критично для сайтів, що працюють з медичною інформацією, де безпека є пріоритетом.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ до функціоналу плагіна користувачам з рівнем контриб’ютора і вище, провести аудит логів на наявність підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference