Уразливість Stored XSS у плагіні tagDiv Composer для WordPress

Що відомо

Плагін tagDiv Composer для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у модулі 'single' у версіях до 4.8 включно через недостатню санітизацію та екранування введених користувачем атрибутів. Авторизовані користувачі з рівнем доступу автора і вище можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість може дозволити зловмисникам впроваджувати шкідливі скрипти на сайтах, що використовують плагін tagDiv Composer, що призведе до компрометації даних користувачів, викрадення сесій або інших атак через браузер. Власники сайтів і оператори ІТ-інфраструктури повинні врахувати ризики для безпеки та репутації своїх ресурсів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від виробника та застосувати їх у разі доступності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит журналів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Важливо також інформувати користувачів про потенційні ризики.

Джерела

• NVD
• Reference
• Reference