Уразливість у плагіні Email Subscribers & Newsletters для WordPress

Що відомо

Плагін Email Subscribers by Icegram Express версій до 5.7.45 не очищує та не екранує деякі налаштування форм, що дозволяє адміністраторам виконувати атаки типу Stored Cross-Site Scripting навіть без права unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може бути використана адміністраторами для впровадження шкідливого коду, що може вплинути на безпеку вебсайту та довіру користувачів. Власникам інфраструктури слід врахувати ризики XSS-атак, які можуть призвести до компрометації даних або порушення роботи сервісів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Email Subscribers до останньої версії, перевірити налаштування прав користувачів, обмежити доступ до адміністративних функцій, а також переглянути журнали безпеки на предмет підозрілої активності. Якщо оновлення недоступне, слід мінімізувати експозицію вразливих компонентів та застосувати додаткові заходи захисту.

Джерела

• NVD
• Reference