Уразливість збереженого XSS у плагіні Meta Data and Taxonomies Filter для WordPress

Що відомо

Плагін Meta Data and Taxonomies Filter для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'mdf_results_by_ajax' у версіях до 1.3.3.6 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти на сторінках сайту.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що ставить під загрозу безпеку даних і довіру користувачів. Для власників сайтів на WordPress це означає потенційні ризики компрометації облікових записів, викрадення сесій або поширення шкідливого коду. Вразливість середньої критичності (CVSS 6.4) потребує уваги для запобігання можливим атакам.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Meta Data and Taxonomies Filter від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів до рівня контриб’ютора і вище, ретельно контролювати введені дані, а також переглянути журнали безпеки на предмет підозрілої активності. Важливо також мінімізувати публічний доступ до сторінок із shortcode 'mdf_results_by_ajax' та планувати пріоритетне оновлення плагіна.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference