CVE-2024-7353: Уразливість Stored XSS у плагіні Accept Stripe Payments для WordPress

Що відомо

Плагін Accept Stripe Payments для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode accept_stripe_payment_ng у версіях до 2.0.86 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що підвищує ризик крадіжки сесій, фішингу або інших атак, які можуть вплинути на довіру користувачів та безпеку вебресурсу. Власники сайтів на WordPress, які використовують цей плагін, повинні оцінити ризики та пріоритетність оновлення.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Accept Stripe Payments та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем контриб'ютора і вище, ретельно перевірити введені дані та журнали активності на наявність підозрілих дій, а також розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference