Analytical use of cookies
Уразливість Stored XSS у плагіні Custom Field Suite для WordPress
Виявлено Stored XSS у плагіні Custom Field Suite (до версії 2.6.7) для WordPress, що дозволяє впроваджувати шкідливі скрипти користувачам із правами контриб’ютора.
- CVSS
- 6.4 MEDIUM
- EPSS
- 33.85%
- Активно використовується
- немає в KEV
- Продукт
- custom field suite
Що відомо
Плагін Custom Field Suite для WordPress версій до 2.6.7 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметра 'cfs[post_title]'. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.
Бізнес-вплив
Ця уразливість дозволяє автентифікованим користувачам із правами контриб’ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, підриваючи безпеку вебсайту. Власники інфраструктури повинні врахувати потенційний ризик компрометації даних та репутації.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Custom Field Suite від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності та зменшити експозицію вразливих сторінок.