Уразливість у плагіні Website Content in Page or Post для WordPress дозволяє XSS-атаки

Що відомо

Плагін Website Content in Page or Post для WordPress версій до 2024.04.09 не перевіряє та не екранує деякі атрибути шорткодів перед виводом, що може дозволити користувачам з роллю «співавтор» і вище виконувати збережені Cross-Site Scripting (XSS) атаки.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в браузерах користувачів сайту, що ставить під загрозу безпеку даних і довіру до ресурсу. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією облікових записів та порушенням роботи сайту.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Website Content in Page or Post до останньої версії, випущеної після 2024.04.09. Якщо оновлення неможливе, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності та мінімізувати використання шорткодів із ненадійними атрибутами.

Джерела

• NVD
• Reference