Analytical use of cookies
Уразливість Stored Cross-Site Scripting у плагіні Jetpack для WordPress
Виявлено Stored XSS у Jetpack для WordPress через wpvideo шорткод. Оновіть плагін для захисту сайту від атак.
- CVSS
- 6.4 MEDIUM
- EPSS
- 29.84%
- Активно використовується
- немає в KEV
- Продукт
- jetpack
Що відомо
Плагін Jetpack для WordPress має уразливість Stored Cross-Site Scripting через недостатню обробку атрибутів у шорткоді wpvideo у версіях до 13.3.1 включно. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Ця уразливість дозволяє авторизованим користувачам з правами контриб'ютора та вище впроваджувати довготривалі скрипти на сайті, що може призвести до викрадення сесій, зміни контенту або інших атак на відвідувачів сайту. Власники інфраструктури повинні враховувати ризики компрометації даних та репутації через експлуатацію цієї вразливості.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Jetpack від розробника Automattic і застосувати їх у разі доступності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації та зменшити експозицію сайту. Також варто впровадити додаткові механізми фільтрації введених даних.