Уразливість Stored XSS у плагіні Companion Portfolio для WordPress

Що відомо

Плагін Companion Portfolio для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'companion-portfolio' у версіях до 2.4.0.1 включно. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак через браузер. Власники сайтів і ІТ-оператори повинні враховувати ризики компрометації даних та репутації, особливо якщо на сайті є користувачі з правами контриб'ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит журналів на предмет підозрілої активності, а також мінімізувати вплив шляхом зменшення доступу до шорткоду та впровадження додаткових заходів безпеки на сайті.

Джерела

• NVD
• Reference
• Reference