Уразливість Stored XSS у плагіні Outdooractive Embed для WordPress

Що відомо

Плагін Outdooractive Embed для WordPress має уразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітаризацію та екранування атрибутів шорткоду 'list2go' у версіях до 1.5 включно. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами контриб'ютора та вище впроваджувати довготривалі скрипти на сайтах WordPress, що може призвести до компрометації сесій, викрадення даних або поширення шкідливого коду серед відвідувачів. Власники сайтів повинні оцінити ризики, особливо якщо плагін використовується у середовищах з багатьма користувачами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Outdooractive Embed від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до рівня нижче контриб'ютора, провести аудит журналів на предмет підозрілої активності та мінімізувати експозицію вразливих сторінок. Також варто розглянути тимчасове відключення плагіна до усунення проблеми.

Джерела

• NVD
• Reference
• Reference