Analytical use of cookies
Уразливість WP-Members: збережений XSS через шорткоди плагіна
Виявлено уразливість збереженого XSS у плагіні WP-Members для WordPress. Оновіть плагін та обмежте права користувачів для захисту сайту.
- CVSS
- 6.4 MEDIUM
- EPSS
- 28.12%
- Активно використовується
- немає в KEV
- Продукт
- wp-members
Що відомо
Плагін WP-Members для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткодів у версіях до 3.4.9.1 включно. Атакувальники з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами.
Бізнес-вплив
Уразливість дозволяє авторизованим користувачам з правами контриб’ютора і вище впроваджувати довготривалі шкідливі скрипти, що можуть викликати викрадення сесій, зміну контенту або інші атаки на відвідувачів сайту. Це підвищує ризики компрометації вебресурсу та довіри користувачів, що критично для власників і операторів інфраструктури на базі WordPress.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна WP-Members у офіційного розробника та оперативно застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит журналів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Також варто впровадити додаткові заходи фільтрації введених даних.