Уразливість Cross-Site Scripting у плагіні collect.chat для WordPress

Що відомо

Плагін Chatbot for WordPress від Collect.chat версій до 2.4.4 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими правами, наприклад адміністраторам, виконувати атаки Cross-Site Scripting навіть при забороні unfiltered_html.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів, що ставить під загрозу безпеку вебсайту та конфіденційність даних. Для власників сайтів на WordPress із встановленим collect.chat це означає потенційний ризик компрометації адміністративних сесій та подальших атак на інфраструктуру.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна collect.chat і встановити версію 2.4.4 або новішу, якщо доступна. Якщо оновлення неможливе, слід обмежити права користувачів, переглянути журнали безпеки на наявність підозрілої активності та мінімізувати можливості для введення небезпечних даних у налаштуваннях плагіна.

Джерела

• NVD
• Reference