Уразливість Stored XSS у плагіні Blocksy Companion для WordPress

Що відомо

Плагін Blocksy Companion для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через віджет Newsletter у версіях до 2.0.31 включно. Це дозволяє автентифікованим користувачам з рівнем доступу contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити викрадення сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його репутацію. Власники сайтів на WordPress, які використовують цей плагін, повинні врахувати ризики для своєї інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Blocksy Companion від розробника та встановити їх у разі доступності. Якщо оновлення неможливе, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих компонентів. Важливо також інформувати команду безпеки та користувачів про потенційні ризики.

Джерела

• NVD
• Reference
• Reference