Уразливість Stored XSS у плагіні App Embed для WordPress (CVE-2024-11749)

Що відомо

Плагін App Embed для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через шорткод 'appizy' у версіях до 2.3.2 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або поширенням шкідливого коду. Для операторів ІТ та власників інфраструктури це означає підвищений ризик атак через довірені акаунти, що може вплинути на безпеку вебресурсів і довіру користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна App Embed від розробника та встановити їх при доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію уразливих сторінок. Також варто впровадити додаткові механізми фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference