Уразливість Stored XSS у плагіні Admin Page Spider для WordPress

Що відомо

Плагін Admin Page Spider для WordPress має уразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітизацію введених даних в адмінських налаштуваннях у версіях до 3.31 включно. Уразливість дозволяє автентифікованим користувачам з правами адміністратора впроваджувати шкідливі скрипти, які виконуються при перегляді заражених сторінок.

Бізнес-вплив

Ця уразливість може призвести до виконання довільного коду в браузерах користувачів, що підвищує ризик компрометації облікових записів та витоку даних. Вона актуальна для мультисайтових інсталяцій WordPress або тих, де параметр unfiltered_html вимкнено. Власникам інфраструктури слід оцінити ризики та пріоритезувати оновлення або інші заходи безпеки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Admin Page Spider та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ до адмінських налаштувань, перевірити журнали на ознаки експлуатації, а також зменшити поверхню атаки, контролюючи права користувачів і налаштування unfiltered_html.

Джерела

• NVD
• Reference
• Reference
• Reference