Уразливість Stored XSS у плагіні Advanced iFrame для WordPress

Що відомо

Плагін Advanced iFrame для WordPress має уразливість Stored Cross-Site Scripting через shortcode advanced_iframe, що дозволяє автентифікованим користувачам з правами не нижче контриб'ютора впроваджувати довільні скрипти. Це відбувається через можливість додавання JS-файлів з зовнішніх джерел через атрибут additional_js.

Бізнес-вплив

Уразливість може призвести до впровадження шкідливих скриптів на сайтах, що використовують плагін, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити викрадення сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його репутацію.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів, які можуть додавати shortcode advanced_iframe, перегляньте журнали на предмет підозрілої активності та зменшіть експозицію вразливого функціоналу на сайті.

Джерела

• NVD
• Reference
• Reference