Уразливість Stored XSS у плагіні Powerkit для WordPress

Що відомо

Плагін Powerkit для WordPress версій до 2.9.1 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткодів. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із правами контриб’ютора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити відображення сайту. Це підвищує ризик компрометації облікових записів та порушення цілісності контенту, що негативно впливає на довіру користувачів і безпеку вебресурсу.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна Powerkit від розробника та оперативно їх встановити. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно перевірити журнали на ознаки експлуатації уразливості та зменшити експозицію вразливих сторінок. Також варто впровадити додаткові заходи фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference