Уразливість збереженого XSS у плагіні Events Manager для WordPress

Що відомо

Плагін Events Manager для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у шорткодах 'event', 'location' та 'event_category' через недостатню санітизацію введених даних. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливого коду на сайті, що ставить під загрозу безпеку користувачів та цілісність вебресурсу. Це може спричинити компрометацію облікових записів, викрадення сесій або інші атаки, що впливають на довіру до сервісу та його стабільність.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Events Manager від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит логів на предмет підозрілої активності та впровадити додаткові заходи фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference