Уразливість Stored XSS у плагіні auxinportfolio для WordPress

Що відомо

Плагін Premium Portfolio Features для теми Phlox у WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'aux_recent_portfolios_grid' у версіях до 2.3.4 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє автентифікованим користувачам з рівнем доступу contributor і вище впроваджувати довільні скрипти.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів на сторінках сайту, що відкриває можливості для крадіжки сесій, фішингу або інших атак на користувачів. Власники сайтів і ІТ-оператори повинні врахувати ризики компрометації даних і репутації через можливі атаки, особливо якщо на сайті є користувачі з правами contributor і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна auxinportfolio від розробника та застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит логів на предмет підозрілої активності, а також мінімізувати вплив шляхом обмеження використання shortcode 'aux_recent_portfolios_grid' або його параметрів.

Джерела

• NVD
• Reference
• Reference
• Reference