Вразливість Stored XSS у плагіні Currency Converter Widget ⚡ PRO для WordPress

Що відомо

Плагін Currency Converter Widget ⚡ PRO для WordPress версії до 1.0.6 включно має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді 'currency-converter-widget-pro'. Авторизовані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з обмеженим доступом впроваджувати шкідливий код, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Для власників і операторів WordPress-сайтів це означає підвищений ризик компрометації даних та репутаційних втрат, особливо якщо плагін використовується на сайтах з багатьма користувачами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх при доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит журналів безпеки на предмет підозрілої активності, а також розглянути тимчасове відключення плагіна або заміну на альтернативне рішення. Загалом, слід дотримуватися принципів мінімізації впливу та контролю доступу.

Джерела

• NVD
• Reference
• Reference