Уразливість у плагіні Profile Box Shortcode and Widget для WordPress

Що відомо

Плагін Profile Box Shortcode and Widget для WordPress версій до 1.2.1 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть без права unfiltered_html, наприклад у мультисайтових середовищах.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів, що ставить під загрозу безпеку вебсайту та даних. Для власників інфраструктури це означає потенційні ризики компрометації облікових записів, втрати довіри користувачів і можливі порушення безпеки даних. Вразливість має середній рівень критичності, але її слід враховувати в контексті загальної безпеки CMS.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Profile Box Shortcode and Widget до останньої версії, яку випустив виробник. Якщо оновлення наразі недоступне, слід обмежити права користувачів з високими привілеями, перевірити журнали на наявність підозрілої активності та мінімізувати експозицію вразливого плагіна. Також варто регулярно моніторити оновлення безпеки від виробника.

Джерела

• NVD
• Reference