Уразливість Stored XSS у плагіні Icegram Engage для WordPress

Що відомо

Плагін Icegram Engage для WordPress версій до 3.1.32 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими привілеями, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру до ресурсу. Власники сайтів на базі WordPress, які використовують Icegram Engage, повинні врахувати можливість компрометації через зловмисні скрипти, особливо у мультисайтових конфігураціях.

Рекомендовані дії адміністратора

Рекомендується перевірити версію плагіна Icegram Engage та оновити його до останньої доступної версії, що містить виправлення. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, провести аудит журналів безпеки на предмет підозрілої активності та зменшити потенційний вплив шляхом обмеження доступу до налаштувань плагіна.

Джерела

• NVD
• Reference