Уразливість Stored XSS у плагіні Mini Program API для WordPress через shortcode 'qvideo'

Що відомо

Плагін Mini Program API для WordPress у версіях до 1.4.5 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'qvideo'. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з обмеженим доступом впроваджувати шкідливий код, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних і зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Mini Program API і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче контриб’ютора, ретельно перевіряти введені дані та аналізувати логи на наявність підозрілої активності. Також варто розглянути тимчасове відключення shortcode 'qvideo' до усунення проблеми.

Джерела

• NVD
• Reference
• Reference