Уразливість відображеного XSS у плагіні WordPress File Upload

Що відомо

Плагін WordPress File Upload версій до 4.24.8 не очищує та не екранує параметри перед виводом на сторінку, що призводить до відображеного міжсайтового скриптингу (Reflected XSS). Ця уразливість може бути використана проти користувачів з високими привілеями, зокрема адміністраторів.

Бізнес-вплив

Використання цієї уразливості може дозволити зловмисникам виконувати шкідливий код у браузері адміністративних користувачів, що може призвести до компрометації облікових записів, викрадення сесій або зміни налаштувань сайту. Це створює ризики для безпеки вебінфраструктури та конфіденційності даних.

Рекомендовані дії адміністратора

Адміністраторам рекомендується оновити плагін WordPress File Upload до останньої версії, випущеної постачальником. Якщо оновлення наразі неможливе, слід обмежити доступ до плагіна для користувачів з високими правами, перевірити журнали на наявність підозрілої активності та застосувати загальні заходи з безпеки вебдодатків для зменшення ризиків.

Джерела

• NVD
• Reference