Уразливість Stored XSS у плагіні Google CSE для WordPress

Що відомо

Плагін Google CSE для WordPress версії до 1.0.7 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності можливості unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого скрипту в контексті сайту, що ставить під загрозу безпеку користувачів та цілісність вебресурсу. Для власників інфраструктури це означає потенційні ризики компрометації даних та репутаційні втрати. Враховуючи середній рівень небезпеки, важливо своєчасно вжити заходів для мінімізації ризиків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Google CSE від розробника erikeng і застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити права користувачів з високими привілеями, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливих налаштувань. Також варто розглянути додаткові заходи безпеки, такі як веб-фаєрволи та моніторинг поведінки користувачів.

Джерела

• NVD
• Reference