Уразливість Stored XSS у плагіні EditorsKit для WordPress

Що відомо

Плагін Gutenberg Block Editor Toolkit – EditorsKit для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'editorskit' у версіях до 1.40.4 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із обліковим записом контриб’ютора або вище впроваджувати довготривалі шкідливі скрипти на сайтах WordPress, що може призвести до компрометації даних користувачів, викрадення сесій або інших атак через браузер. Власники сайтів і оператори ІТ-інфраструктури повинні враховувати ризики для безпеки контенту та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна EditorsKit і застосувати їх, якщо вони доступні. У разі відсутності патчів слід обмежити права користувачів до мінімально необхідних, ретельно контролювати введення даних через шорткод 'editorskit', а також переглянути журнали на предмет підозрілої активності. Важливо також впровадити додаткові заходи безпеки для зменшення ризиків XSS.

Джерела

• NVD
• Reference
• Reference