Вразливість Stored XSS у плагіні Preloader Plus для WordPress

Що відомо

Плагін Preloader Plus для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через завантаження SVG-файлів у версіях до 2.2.1 включно. Атакуючі з рівнем доступу Автор і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді SVG-файлів користувачами.

Бізнес-вплив

Ця вразливість дозволяє авторизованим користувачам впроваджувати шкідливі скрипти, що може призвести до компрометації сесій, викрадення даних або подальших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів, особливо якщо плагін не оновлено.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Preloader Plus від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити завантаження SVG-файлів або перевірити їх на наявність шкідливого коду. Також варто переглянути журнали доступу та активності для виявлення підозрілих дій і обмежити права користувачів до мінімально необхідних.

Джерела

• NVD
• Reference
• Reference
• Reference