Уразливість Stored XSS у плагіні Ajax Search Lite для WordPress

Що відомо

Плагін Ajax Search Lite для WordPress версій до 4.12.3 не очищує та не екранує деякі налаштування, що дозволяє користувачам з високими привілеями, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів, що загрожує компрометацією облікових записів та порушенням цілісності сайту. Власники інфраструктури та ІТ-оператори повинні враховувати ризики атак XSS, особливо у середовищах з багатьма адміністраторами або мультисайтами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Ajax Search Lite від розробника wp-dreams та застосувати їх. Якщо оновлення недоступне, слід обмежити права користувачів з високими привілеями, провести аудит логів на ознаки атак та зменшити експозицію вразливого функціоналу.

Джерела

• NVD
• Reference