Вразливість Reflected XSS у плагіні Push Notification для WordPress

Що відомо

Плагін Push Notification для Post і BuddyPress у WordPress має вразливість Reflected Cross-Site Scripting через параметр 'pushnotificationid' у версіях до 2.07 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з посиланням.

Бізнес-вплив

Вразливість може призвести до компрометації сесій користувачів, викрадення облікових даних або виконання небажаних дій від імені користувача. Для власників сайтів на WordPress із цим плагіном існує ризик втрати довіри користувачів та потенційних фінансових втрат через зловмисні атаки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Push Notification і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до вразливих параметрів, провести аудит логів на предмет підозрілої активності та інформувати користувачів про потенційні ризики. Загалом, слід зменшити експозицію вразливого функціоналу та пріоритезувати його усунення.

Джерела

• NVD
• Reference
• Reference
• Reference