Уразливість Stored XSS у плагіні Shortcodes Ultimate для WordPress

Що відомо

Плагін Shortcodes Ultimate для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'su_qrcode' у версіях до 7.0.3 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати довільні скрипти на сторінках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або іншими атаками через браузер. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів та зазнати репутаційних і фінансових втрат.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Shortcodes Ultimate від розробника та негайно їх встановити. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня контриб'ютора і вище, провести аудит журналів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Також варто розглянути тимчасове відключення shortcode 'su_qrcode' до усунення проблеми.

Джерела

• NVD
• Reference
• Reference