Уразливість Cross-Site Scripting у плагіні EasyEvent для WordPress

Що відомо

Плагін EasyEvent для WordPress версії до 1.0.0 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки Cross-Site Scripting навіть при забороні unfiltered_html.

Бізнес-вплив

Ця уразливість може бути використана адміністраторами для впровадження шкідливого коду, що може призвести до компрометації веб-сайту або викрадення сесій користувачів. Хоча рівень загрози оцінено як низький, вона все ж вимагає уваги для захисту цілісності та безпеки сайту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна EasyEvent від розробника dwalliance та встановити їх. Якщо оновлення недоступні, слід обмежити права користувачів з високими привілеями, провести аудит налаштувань безпеки, а також моніторити логи на предмет підозрілої активності.

Джерела

• NVD
• Reference