Уразливість у плагіні Email Subscribers & Newsletters для WordPress (CVE-2024-11636)

Що відомо

Плагін Email Subscribers by Icegram Express версії до 5.7.45 не очищує та не екранує деякі параметри текстових блоків, що дозволяє адміністраторам виконувати атаки типу Stored Cross-Site Scripting навіть без права unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту з правами адміністратора, що ставить під загрозу безпеку сайту та конфіденційність даних. Власники інфраструктури повинні врахувати можливі наслідки для репутації та стабільності роботи сервісу.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Email Subscribers до останньої версії, перевірити наявність патчів від виробника, обмежити права користувачів з високими привілеями, а також переглянути журнали безпеки на предмет підозрілої активності.

Джерела

• NVD
• Reference