Уразливість Stored XSS у плагіні The Post Grid для WordPress

Що відомо

Плагін The Post Grid для WordPress версій до 7.5.0 не очищує та не екранує деякі налаштування сітки, що дозволяє користувачам з високими привілеями (редакторам і вище) виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html, наприклад, у мультисайтових середовищах.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів з високими привілеями, що загрожує компрометацією облікових записів та потенційним порушенням цілісності сайту. Власники інфраструктури повинні врахувати ризики для безпеки своїх CMS-сайтів, особливо якщо використовується мультисайтова конфігурація WordPress.

Рекомендовані дії адміністратора

Рекомендується оновити плагін The Post Grid до версії 7.5.0 або новішої, перевірити налаштування прав користувачів, обмежити доступ до редакторських ролей та вище, а також переглянути журнали безпеки на предмет підозрілої активності. Якщо оновлення неможливе, слід обмежити доступ до плагіна та знизити ризики шляхом контролю введення даних.

Джерела

• NVD
• Reference