Уразливість збереженого XSS у плагіні Ultimate Member для WordPress

Що відомо

Плагін Ultimate Member для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'um_loggedin' у версіях до 2.8.6 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє авторизованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що підвищує ризик компрометації облікових записів, викрадення сесій або інших атак, що впливають на безпеку вебресурсу. Власники сайтів на WordPress, які використовують цей плагін, можуть зазнати репутаційних та операційних втрат через можливі інциденти безпеки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Ultimate Member від розробника та застосувати їх у разі доступності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Також варто впровадити додаткові заходи захисту, такі як веб-аплікаційний фаєрвол.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference