Уразливість відображеного XSS у плагіні DK PDF для WordPress (CVE-2024-8727)

Що відомо

Плагін DK PDF для WordPress містить уразливість відображеного Cross-Site Scripting (XSS) через неналежне екранування URL у функції add_query_arg у версіях до 1.9.6 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з посиланнями.

Бізнес-вплив

Уразливість може призвести до компрометації сесій користувачів, викрадення облікових даних або виконання небажаних дій від імені користувача. Це створює ризики для безпеки вебсайту та довіри користувачів, особливо якщо плагін використовується на публічних ресурсах з великою аудиторією.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна DK PDF від розробника та застосувати їх у разі доступності. Якщо оновлення недоступні, слід обмежити доступ до вразливих сторінок, ретельно перевіряти журнали на ознаки експлуатації та інформувати користувачів про потенційні ризики. Загалом, варто мінімізувати використання функцій, що формують URL без належного екранування.

Джерела

• NVD
• Reference
• Reference
• Reference