Уразливість Stored XSS у плагіні B Testimonial для WordPress

Що відомо

Плагін B Testimonial для WordPress версій до 1.2.2 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'b_testimonial'. Атакувальники з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами контриб’ютора і вище впроваджувати шкідливі скрипти, що може призвести до компрометації сесій, викрадення даних або поширення шкідливого коду серед відвідувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів та зазнати репутаційних і фінансових втрат.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна B Testimonial і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче контриб’ютора, ретельно перевірити журнали активності на ознаки експлуатації уразливості та мінімізувати публічний доступ до вразливих сторінок. Також варто розглянути тимчасове відключення плагіна до виправлення проблеми.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference