Уразливість Stored XSS у плагіні Login with Vipps and MobilePay для WordPress

Що відомо

Плагін Login with Vipps and MobilePay для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування в атрибутах шорткоду 'continue-with-vipps' у версіях до 1.3.3 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або зміною контенту. Для власників сайтів на WordPress це означає підвищений ризик втрати довіри користувачів та потенційні репутаційні збитки. ІТ-операторам слід врахувати можливість експлуатації цієї уразливості при оцінці безпеки інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Login with Vipps and MobilePay та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище до функціоналу, що використовує шорткод 'continue-with-vipps'. Також варто провести аудит журналів на предмет підозрілої активності та розглянути застосування додаткових заходів фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference