Уразливість у плагіні shortcodes ultimate для WordPress дозволяє XSS-атаки

Що відомо

Плагін shortcodes-ultimate-pro для WordPress версій до 7.2.1 не перевіряє та не екранує деякі атрибути шорткодів перед виведенням, що може дозволити користувачам з роллю «співавтор» і вище виконувати збережені атаки Cross-Site Scripting (XSS).

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів сайту, що загрожує безпеці даних і довірі до ресурсу. Власники сайтів на WordPress із встановленим плагіном shortcodes ultimate повинні врахувати ризики компрометації через XSS, особливо якщо на сайті є користувачі з роллю співавтора і вище.

Рекомендовані дії адміністратора

Рекомендується оновити плагін shortcodes ultimate до версії 7.2.1 або новішої, де уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності та мінімізувати використання шорткодів із ненадійними атрибутами. Також варто регулярно перевіряти оновлення від розробника плагіна.

Джерела

• NVD
• Reference