Уразливість у плагіні Responsive video embed для WordPress дозволяє XSS-атаки

Що відомо

Плагін Responsive video embed для WordPress версій до 0.5.1 не перевіряє та не екранує деякі атрибути шорткоду перед виводом, що може дозволити користувачам з роллю контриб'ютора та вище виконувати збережені XSS-атаки.

Бізнес-вплив

Ця уразливість може бути використана для впровадження шкідливого коду на сайтах, що використовують плагін, що потенційно призведе до компрометації даних користувачів або порушення роботи сайту. Власники сайтів та ІТ-оператори повинні врахувати ризики, особливо якщо на сайті є користувачі з роллю контриб'ютора або вище.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Responsive video embed до версії 0.5.1 або новішої, де ця уразливість виправлена. Якщо оновлення неможливе, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності та розглянути тимчасове вимкнення плагіна. Загалом, слід регулярно перевіряти наявність оновлень та мінімізувати експозицію вразливих компонентів.

Джерела

• NVD
• Reference