CVE-2024-4398: Вразливість Stored XSS у плагіні HTML5 Audio Player для WordPress

Що відомо

Плагін HTML5 Audio Player для WordPress містить вразливість збереженого міжсайтового скриптингу (Stored XSS) через віджет плагіна у версіях до 2.2.19 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з правами контриб’ютора або вище впроваджувати шкідливі скрипти, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress, що використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна HTML5 Audio Player та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані у віджетах, а також моніторити журнали безпеки на предмет підозрілої активності. Важливо також розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference