Уразливість збереженого XSS у плагіні Cosmic Blocks для WordPress

Що відомо

Плагін Cosmic Blocks для WordPress версії до 1.3.0 включно має уразливість збереженого Cross-Site Scripting через shortcode 'cwp_social_share'. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати довготривалі скрипти на сайті, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на безпеку і довіру до ресурсу. Власники сайтів на WordPress повинні оцінити ризики для своєї інфраструктури та користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Cosmic Blocks і встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та моніторити журнали на предмет підозрілої активності. Також варто розглянути тимчасове відключення плагіна до виправлення уразливості.

Джерела

• NVD
• Reference
• Reference