Уразливість у плагіні Newsletter Popup для WordPress дозволяє зберігати XSS-атаки

Що відомо

Плагін Newsletter Popup для WordPress версії до 1.2 не очищує та не екранує деякі свої налаштування, що може дозволити адміністраторам виконувати збережені XSS-атаки навіть без права unfiltered_html, наприклад у мультисайтових середовищах.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в браузерах користувачів, що ставить під загрозу безпеку вебсайту та довіру клієнтів. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та порушенням роботи сервісів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника mndpsingh287 та негайно їх застосувати. Якщо оновлення недоступні, слід обмежити доступ до налаштувань плагіна лише довіреним адміністраторам, провести аудит логів на ознаки атак та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference