Уразливість Stored XSS у плагіні TwentyTwenty для WordPress

Що відомо

Плагін TwentyTwenty для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'twentytwenty' у версіях до 1.0.1 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть вставляти шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів. Власники сайтів і ІТ-оператори повинні враховувати ризики компрометації даних та репутації через експлуатацію цієї вразливості.

Рекомендовані дії адміністратора

Рекомендується оновити плагін TwentyTwenty до останньої версії, якщо доступна, або звернутися до розробника для виправлення. Тимчасово обмежте права користувачів до рівня нижче контриб’ютора, перевірте журнали на ознаки експлуатації та мінімізуйте публічний доступ до вразливих сторінок. Загалом, слід регулярно перевіряти оновлення безпеки та застосовувати їх.

Джерела

• NVD
• Reference
• Reference
• Reference