Вразливість XSS у плагіні Same but Different – Related Posts by Taxonomy для WordPress

Що відомо

Плагін Same but Different – Related Posts by Taxonomy для WordPress містить вразливість відображеного міжсайтового скриптингу (Reflected XSS) через неправильне екранування URL при використанні функцій add_query_arg та remove_query_arg у версіях до 1.0.16 включно. Зловмисники можуть змусити користувачів виконати шкідливі скрипти, переконавши їх перейти за спеціально сформованим посиланням.

Бізнес-вплив

Вразливість може дозволити неавторизованим зловмисникам впроваджувати шкідливі скрипти, що виконуються у браузері користувача, що призводить до викрадення сесій, фішингу або інших атак, які впливають на безпеку вебсайту та довіру користувачів. Це створює ризики для власників інфраструктури та ІТ-операторів, особливо якщо плагін використовується на публічних сайтах.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Same but Different – Related Posts by Taxonomy до останньої версії, де вразливість усунена. Якщо оновлення недоступне, слід обмежити доступ до уразливих функцій, ретельно перевіряти журнали на ознаки експлуатації, зменшити вплив шляхом обмеження введення користувачів і застосувати загальні заходи безпеки вебдодатків. Пріоритетно слід контролювати оновлення від розробника плагіна.

Джерела

• NVD
• Reference
• Reference