Уразливість Stored XSS у плагіні Listdom для WordPress

Що відомо

Плагін Listdom для WordPress версій до 3.7.0 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'shortcode'. Атакувальники з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість дозволяє авторизованим користувачам впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на безпеку вебресурсу та довіру користувачів. Це створює ризики компрометації даних і порушення роботи сайту.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Listdom до останньої версії, де ця уразливість усунена. Якщо оновлення недоступне, обмежте права користувачів до рівня нижче Contributor, перегляньте журнали на предмет підозрілої активності та застосуйте заходи з фільтрації введення та виходу даних на сайті.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference