Уразливість Stored XSS у темі WordPress Tweaker5 через параметр 'url'

Що відомо

Тема WordPress Tweaker5 має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'url' у шорткоді кнопки в усіх версіях до 1.2 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати шкідливі скрипти, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress із темою Tweaker5 повинні врахувати ризики компрометації даних та репутації.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень теми Tweaker5 від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до рівня нижче Contributor, провести аудит логів на ознаки експлуатації, а також впровадити додаткові засоби фільтрації та санітизації введених даних.

Джерела

• NVD
• Reference
• Reference