Уразливість Stored XSS у плагіні buybox widget для WordPress

Що відомо

Плагін BUY.BOX для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування в атрибутах шорткоду 'buybox-widget' у версіях до 3.1.5 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з обмеженим доступом впроваджувати шкідливі скрипти, що може призвести до компрометації сесій користувачів, викрадення даних або зміни контенту сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів та зазнати репутаційних збитків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна buybox widget від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до ролей з можливістю додавання шорткодів, переглянути журнали на предмет підозрілої активності та мінімізувати експозицію вразливих сторінок.

Джерела

• NVD
• Reference
• Reference