Вразливість Stored XSS у плагіні Slotti Ajanvaraus для WordPress

Що відомо

Плагін Slotti Ajanvaraus для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'slotti-embed-ga' у версіях до 1.3.1 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільного JavaScript-коду в браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або іншими атаками через браузер. Для власників сайтів на WordPress це означає підвищений ризик втрати довіри користувачів та потенційні репутаційні збитки.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна Slotti Ajanvaraus від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит журналів на предмет підозрілої активності та мінімізувати вплив шляхом обмеження використання shortcode 'slotti-embed-ga'.

Джерела

• NVD
• Reference
• Reference