Уразливість збереженого XSS у плагіні RT Easy Builder для WordPress

Що відомо

Плагін RT Easy Builder для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених користувачем атрибутів. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що загрожує компрометацією даних користувачів, викраденням сесій або іншими атаками через браузер. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та репутації, особливо якщо доступ до редагування мають кілька користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна RT Easy Builder від розробника risethemes і встановити їх при доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та переглядати журнали активності на наявність підозрілих дій. Також варто розглянути тимчасове відключення плагіна, якщо ризики високі.

Джерела

• NVD
• Reference
• Reference