Уразливість Stored XSS у плагіні Videojs HTML5 Player для WordPress

Що відомо

Плагін Videojs HTML5 Player для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів у шорткоді videojs_video. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє аутентифікованим користувачам з правами контриб'ютора і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити контент сторінок. Це створює ризик компрометації користувачів сайту та підриває довіру до вебресурсу. Власникам інфраструктури слід оцінити рівень доступу користувачів і ризики впливу на безпеку.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх у першу чергу. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілих дій і зменшити експозицію вразливих сторінок. Також варто впровадити додаткові механізми фільтрації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference