Вразливість Stored XSS у плагіні Sydney Toolbox для WordPress

Що відомо

Плагін Sydney Toolbox для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) у віджеті Filterable Gallery у версіях до 1.28 включно через недостатню санітизацію та екранування введених користувачем даних. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або подальшим поширенням атак. Власники сайтів на WordPress із встановленим плагіном Sydney Toolbox повинні розглянути ризики, особливо якщо надають доступ користувачам із правами контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Sydney Toolbox від розробника athemes і встановити їх при доступності. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит журналів на предмет підозрілої активності та мінімізувати експозицію вразливих компонентів. Важливо також інформувати користувачів про безпечне використання сайту та моніторити поведінку системи.

Джерела

• NVD
• Reference
• Reference