Уразливість Stored XSS у плагіні Planning Center Online Giving для WordPress

Що відомо

Плагін Planning Center Online Giving для WordPress версії до 1.0.0 не перевіряє та не екранує деякі атрибути шорткоду перед виведенням на сторінку, що дозволяє користувачам з роллю «співавтор» і вище виконувати атаки типу Stored Cross-Site Scripting (XSS).

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в браузері користувачів сайту, що ставить під загрозу конфіденційність даних та безпеку користувачів. Для власників сайтів на WordPress із встановленим плагіном це означає потенційний ризик компрометації контенту та довіри користувачів. ІТ-операторам слід врахувати середній рівень загрози та пріоритетно реагувати на цю проблему.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Planning Center Online Giving від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів із роллю «співавтор» і вище, провести аудит журналів безпеки на предмет підозрілої активності та зменшити експозицію вразливого функціоналу. Також варто розглянути використання додаткових засобів захисту від XSS.

Джерела

• NVD
• Reference