Analytical use of cookies
Уразливість Stored Cross-Site Scripting у плагіні ProfilePress для WordPress (CVE-2024-1570)
Уразливість Stored XSS у ProfilePress для WordPress дозволяє користувачам з правами контриб'ютора впроваджувати шкідливі скрипти. Рекомендується оновлення плагіна.
- CVSS
- 6.4 MEDIUM
- EPSS
- 38.86%
- Активно використовується
- немає в KEV
- Продукт
- profilepress
Що відомо
Плагін ProfilePress для WordPress, що включає функції платного членства, електронної комерції та реєстрації користувачів, має уразливість Stored Cross-Site Scripting через недостатню санітаризацію введених даних у шорткоді login-password. Це дозволяє користувачам з правами не нижче рівня контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Уразливість може призвести до виконання довільного коду в браузерах користувачів, що загрожує компрометацією облікових записів, викраденням сесій або іншими атаками через веб-інтерфейс. Для власників сайтів на WordPress із встановленим ProfilePress це означає підвищений ризик безпеки, особливо якщо на сайті є користувачі з правами контриб'ютора і вище.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна ProfilePress від розробника та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів, ретельно контролювати введення даних у шорткодах, переглянути журнали безпеки на предмет підозрілої активності та мінімізувати експозицію вразливих сторінок.