Уразливість Stored XSS у плагіні ONLYOFFICE DocSpace для WordPress

Що відомо

Плагін ONLYOFFICE DocSpace для WordPress версій до 2.1.1 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування в атрибутах шорткоду 'onlyoffice-docspace'. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість може дозволити зловмисникам впроваджувати шкідливий код на сайтах, що використовують плагін, що призведе до компрометації даних користувачів, викрадення сесій або інших атак через браузер. Власники сайтів та ІТ-оператори повинні врахувати ризики для безпеки та репутації, особливо якщо на сайті є користувачі з рівнем доступу контриб'ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна ONLYOFFICE DocSpace від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит журналів на предмет підозрілої активності, а також розглянути тимчасове відключення плагіна або шорткоду до усунення уразливості.

Джерела

• NVD
• Reference
• Reference