Уразливість WP MediaTagger дозволяє зберігання XSS-атак

Що відомо

Плагін WP MediaTagger для WordPress версії до 4.1.1 не перевіряє та не екранує деякі атрибути шорткоду перед виведенням, що дозволяє користувачам з роллю контриб'ютора та вище виконувати збережені XSS-атаки.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту на сайтах, що використовують плагін WP MediaTagger, що ставить під загрозу безпеку користувачів і цілісність контенту. Адміністратори сайтів повинні враховувати ризики компрометації даних та потенційні репутаційні втрати.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP MediaTagger від розробника phd38 і застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит логів на наявність підозрілої активності та мінімізувати використання шорткодів з ненадійними атрибутами.

Джерела

• NVD
• Reference