Вразливість XSS у плагіні MicroPayments – Fans Paysite для WordPress

Що відомо

Плагін MicroPayments – Fans Paysite для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді 'videowhisper_content_upload_guest'. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів з правами контриб’ютора і вище, провести аудит логів на ознаки експлуатації, а також розглянути тимчасове відключення плагіна для зменшення ризиків.

Джерела

• NVD
• Reference
• Reference