Вразливість Stored XSS у плагіні Login Logout Register Menu для WordPress

Що відомо

Плагін Login Logout Register Menu для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'llrmloginlogout' у версіях до 2.0 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати довільні скрипти, які виконуватимуться при відкритті сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам впроваджувати шкідливі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на безпеку та довіру до ресурсу. Власники сайтів на WordPress, які використовують цей плагін, повинні оцінити ризики та вжити заходів для захисту своїх користувачів і інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Login Logout Register Menu від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит журналів на предмет підозрілої активності, а також розглянути тимчасове відключення плагіна для зниження ризику експлуатації вразливості.

Джерела

• NVD
• Reference
• Reference