Уразливість Stored XSS у плагіні Custom Post Type Attachment для WordPress

Що відомо

Плагін Custom Post Type Attachment для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'pdf_attachment' у версіях до 3.4.5 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть вставляти шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти, що можуть викрадати сесійні дані користувачів або виконувати небажані дії від їх імені. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією безпеки та довіри користувачів. Ризик особливо актуальний для сайтів із багатьма контриб’юторами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте доступ користувачів до рівня нижче контриб’ютора, ретельно перевіряйте введені дані та ведіть моніторинг логів на предмет підозрілої активності. Пріоритезуйте виправлення цієї уразливості у планах безпеки.

Джерела

• NVD
• Reference
• Reference