Analytical use of cookies
Уразливість Stored XSS у плагіні ONLYOFFICE Docs для WordPress
Уразливість Stored XSS у плагіні ONLYOFFICE Docs (до версії 2.0.0) дозволяє автентифікованим користувачам впроваджувати шкідливі скрипти через шорткод 'onlyoffice'.
- CVSS
- 6.4 MEDIUM
- EPSS
- 16.93%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін ONLYOFFICE Docs для WordPress версій до 2.0.0 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'onlyoffice'. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або зміною контенту. Для власників сайтів на WordPress це означає підвищений ризик атак через довірених користувачів, що може вплинути на репутацію та безпеку інфраструктури.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна ONLYOFFICE Docs і застосувати їх, якщо доступні. Якщо оновлення неможливе, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та моніторити логи на ознаки підозрілої активності. Також варто розглянути тимчасове відключення шорткоду 'onlyoffice' до усунення вразливості.