Уразливість Stored XSS у плагіні AWeber для WordPress

Що відомо

Плагін AWeber для WordPress версії до 7.3.20 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими привілеями, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у контексті сайту, що загрожує компрометацією облікових записів адміністратора та потенційним порушенням цілісності вебресурсу. Власники інфраструктури повинні враховувати ризики XSS-атак, особливо у мультисайтових середовищах, де обмеження прав можуть бути недостатніми.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна AWeber від виробника та застосувати їх при доступності. Якщо оновлення недоступні, слід обмежити доступ користувачів з високими привілеями, провести аудит логів на ознаки атак та мінімізувати експозицію плагіна у публічному доступі.

Джерела

• NVD
• Reference