Уразливість Stored XSS у плагіні tagDiv Composer для WordPress (CVE-2024-3888)

Що відомо

Плагін tagDiv Composer для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode кнопки у версіях до 4.8 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із правами контриб’ютора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на безпеку та довіру користувачів. Вразливий код пов’язаний із темою tagDiv Newspaper, тому інші теми можуть бути не уражені. Власникам сайтів слід оцінити ризики, особливо якщо використовується ця тема.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити, чи використовується тема tagDiv Newspaper разом із плагіном tagDiv Composer, та оновити плагін до останньої версії, якщо доступна. Якщо оновлення неможливе, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference