Уразливість Cross-Site Scripting у плагіні Ditty для WordPress

Що відомо

Плагін Ditty для WordPress версій до 3.1.43 не очищує та не екранує деякі налаштування блоків, що дозволяє користувачам з високими привілеями, наприклад авторам, виконувати атаки Cross-Site Scripting навіть при забороні unfiltered_html.

Бізнес-вплив

Ця уразливість може бути використана для виконання шкідливого скрипту в контексті сайту, що може призвести до компрометації сесій користувачів або викрадення даних. Власники сайтів на WordPress, які використовують плагін Ditty, повинні врахувати ризики, особливо якщо на сайті є користувачі з правами автора або вище.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Ditty до останньої версії, випущеної постачальником. Якщо оновлення наразі недоступне, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності та розглянути можливість тимчасового відключення плагіна. Також варто регулярно перевіряти оновлення безпеки від розробника.

Джерела

• NVD
• Reference