Уразливість WP QuickLaTeX дозволяє зберігання XSS-атак

Що відомо

Плагін WP QuickLaTeX для WordPress версій до 3.8.8 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати збережені Cross-Site Scripting (XSS) атаки навіть при відсутності права unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів, що підвищує ризики компрометації облікових записів та порушення цілісності сайту. Власники сайтів на базі WordPress з встановленим плагіном WP QuickLaTeX повинні оцінити ризики, особливо у мультисайтових конфігураціях, де обмеження unfiltered_html не захищають від атак.

Рекомендовані дії адміністратора

Рекомендується оновити плагін WP QuickLaTeX до версії 3.8.8 або новішої, якщо доступна. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, перевірити журнали на наявність підозрілої активності та розглянути тимчасове відключення плагіна. Також варто регулярно перевіряти оновлення безпеки від розробника.

Джерела

• NVD
• Reference