Analytical use of cookies
Уразливість у Icegram Express дозволяє зберігання XSS-атак для адміністраторів
Плагін Icegram Express для WordPress має уразливість збереженого XSS, що дозволяє адміністраторам виконувати атаки навіть без права unfiltered_html.
- CVSS
- 3.5 LOW
- EPSS
- 17.21%
- Активно використовується
- немає в KEV
- Продукт
- icegram express
Що відомо
Плагін WordPress Icegram Express (до версії 5.7.52) не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати збережені Cross-Site Scripting (XSS) атаки навіть при відсутності права unfiltered_html, наприклад у мультисайтових конфігураціях.
Бізнес-вплив
Ця уразливість може призвести до виконання шкідливого скрипту в контексті сайту, що потенційно дозволяє компрометацію облікових записів адміністраторів або викрадення сесій. Для власників сайтів на базі WordPress з плагіном Icegram Express це означає підвищений ризик безпеки, особливо у мультисайтових середовищах, де обмеження unfiltered_html не захищають від атак.
Рекомендовані дії адміністратора
Адміністраторам рекомендується перевірити наявність оновлень плагіна Icegram Express та встановити останню версію. Якщо оновлення недоступне, слід обмежити права користувачів з високими привілеями, переглянути журнали безпеки на предмет підозрілої активності та мінімізувати експозицію плагіна. Також варто розглянути застосування додаткових засобів захисту від XSS.