Уразливість Stored XSS у плагіні Stylish Price List для WordPress

Що відомо

Плагін Stylish Price List для WordPress версій до 7.1.8 не очищує та не екранує деякі налаштування, що дозволяє користувачам з правами contributor і вище виконувати атаки типу Stored Cross-Site Scripting навіть без можливості unfiltered_html, наприклад у мультисайтових середовищах.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру клієнтів. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією облікових записів та порушенням цілісності контенту.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Stylish Price List до версії 7.1.8 або новішої, де ця уразливість виправлена. Якщо оновлення неможливе, слід обмежити права користувачів contributor і вище, перевірити журнали на наявність підозрілої активності та розглянути тимчасове відключення плагіна. Також варто регулярно переглядати оновлення від розробника та застосовувати їх.

Джерела

• NVD
• Reference