Уразливість у SendPress WordPress плагіні дозволяє зберігати XSS-атаки

Що відомо

У плагіні SendPress Newsletters для WordPress версії до 1.23.11.6 не здійснюється належна санітизація деяких налаштувань, що дозволяє адміністраторам виконувати збережені Cross-Site Scripting (XSS) атаки навіть без права unfiltered_html, наприклад у мультисайтових середовищах.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів з високими привілеями, що загрожує компрометацією облікових записів та порушенням цілісності сайту. Власники інфраструктури повинні врахувати ризики для безпеки своїх WordPress-сайтів, особливо якщо використовується плагін SendPress у мультисайтових конфігураціях.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна SendPress від виробника та застосувати їх при першій можливості. Якщо оновлення недоступні, слід обмежити доступ користувачів з високими привілеями, переглянути налаштування безпеки, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливого плагіна.

Джерела

• NVD
• Reference