Уразливість у MailPoet WordPress плагіні дозволяє XSS-атаки

Що відомо

У версіях MailPoet WordPress плагіна до 5.5.2 не відбувається належна санітизація та екранування деяких налаштувань, що може дозволити адміністраторам виконувати збережені Cross-Site Scripting (XSS) атаки навіть за відсутності права unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може бути використана адміністраторами для впровадження шкідливого скрипту, що потенційно загрожує безпеці користувачів сайту та цілісності даних. Власники інфраструктури повинні врахувати ризики XSS-атак, особливо у мультисайтових середовищах, де обмеження unfiltered_html не захищають від цієї загрози.

Рекомендовані дії адміністратора

Рекомендується оновити MailPoet плагін до версії 5.5.2 або новішої, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити права користувачів з високими привілеями, переглянути налаштування безпеки, провести аудит логів на предмет підозрілої активності та пріоритезувати оновлення плагіна.

Джерела

• NVD
• Reference