Вразливість Stored XSS у плагіні Inline Google Spreadsheet Viewer для WordPress

Що відомо

Плагін Inline Google Spreadsheet Viewer для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметрів шорткоду 'gdoc' у версіях до 0.13.2 включно. Авторизовані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам із правами контриб'ютора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити вміст сторінок. Це підвищує ризик компрометації сайту та впливає на довіру користувачів і безпеку інформації.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Inline Google Spreadsheet Viewer та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference