Уразливість Stored XSS у плагіні Contact Form and Calls To Action by vcita для WordPress

Що відомо

Плагін Contact Form and Calls To Action by vcita для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'vCitaMeetingScheduler' у версіях до 2.7.1 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє автентифікованим користувачам із рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Ця уразливість може бути використана для впровадження шкідливих скриптів, які виконуються при перегляді заражених сторінок, що ставить під загрозу безпеку користувачів сайту та може призвести до компрометації сесій, викрадення даних або поширення шкідливого коду. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів та зазнати репутаційних збитків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів із рівнем контриб'ютора і вище, провести аудит логів на наявність підозрілої активності, а також розглянути тимчасове відключення плагіна для зниження ризику експлуатації уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference