Уразливість Stored XSS у плагіні Watu Quiz для WordPress

Що відомо

Плагін Watu Quiz для WordPress версій до 3.4.1.2 не очищує та не екранує деякі налаштування, що дозволяє користувачам з роллю автора (за умови надання прав адміністратором) виконувати атаки типу Stored Cross-Site Scripting навіть без дозволу unfiltered_html.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів сайту, що загрожує компрометацією облікових записів та викраденням сесій. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів і зазнати репутаційних збитків.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Watu Quiz до останньої версії, наявної у постачальника. Якщо оновлення неможливе, слід обмежити права користувачів, особливо ролі автора, та перевірити журнали на наявність підозрілої активності. Також варто провести аудит безпеки плагінів і зменшити потенційний вплив шляхом обмеження введення HTML-коду.

Джерела

• NVD
• Reference