Уразливість збереженого XSS у плагіні CanadaHelps Embedded Donation Form для WordPress

Що відомо

Плагін CanadaHelps Embedded Donation Form для WordPress версій до 1.0.1 включно містить уразливість збереженого Cross-Site Scripting через недостатню санітизацію та екранування атрибутів shortcode 'embedcdn'. Авторизовані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із правами контриб’ютора або вище впроваджувати довготривалі скрипти на сайті, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак через браузер. Власники сайтів на WordPress із цим плагіном повинні оцінити ризики для безпеки та репутації, особливо якщо на сайті є кілька авторизованих користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит введених даних і журналів на предмет підозрілої активності, а також розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference