Вразливість Reflected XSS у плагіні turboSMTP для WordPress

Що відомо

Плагін turboSMTP для WordPress має вразливість Reflected Cross-Site Scripting через параметр 'page' у версіях до 4.6 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з підробленим посиланням.

Бізнес-вплив

Вразливість може призвести до виконання довільних скриптів у браузері користувача, що відкриває можливості для крадіжки сесій, фішингу або інших атак на користувачів сайту. Власники сайтів на WordPress з цим плагіном мають підвищений ризик компрометації безпеки та втрати довіри клієнтів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна turboSMTP і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до параметра 'page', впровадити додаткові заходи фільтрації вхідних даних, переглянути журнали безпеки на предмет підозрілої активності та підвищити обізнаність користувачів щодо безпечної взаємодії з посиланнями.

Джерела

• NVD
• Reference
• Reference
• Reference