Уразливість збереженого XSS у плагіні HT Mega для WordPress

Що відомо

Плагін HT Mega – Absolute Addons For Elementor для WordPress має уразливість збереженого Cross-Site Scripting (XSS) через віджет Countdown у версіях до 2.8.1 включно. Недостатня санітизація та екранування введених користувачем даних дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Уразливість може бути використана для впровадження шкідливих скриптів, що виконуються при перегляді сторінок, що створює ризик компрометації даних користувачів та порушення цілісності вебсайту. Це може призвести до втрати довіри користувачів, негативного впливу на репутацію та потенційних фінансових збитків для власників інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна HT Mega від розробника та застосувати їх у разі доступності. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливих компонентів. Важливо також регулярно моніторити безпекові оновлення від виробника.

Джерела

• NVD
• Reference
• Reference