Уразливість Stored XSS у плагіні Polls CP для WordPress

Що відомо

Плагін Polls CP для WordPress версій до 1.0.77 не очищує та не екранує деякі налаштування опитувань, що дозволяє користувачам з високими привілеями, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів з високими привілеями, що загрожує компрометацією облікових записів адміністратора та потенційним порушенням безпеки сайту. Власники інфраструктури повинні врахувати ризики для цілісності та конфіденційності даних, особливо в мультисайтових середовищах.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Polls CP до версії 1.0.77 або новішої, якщо доступна. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, перевірити журнали на наявність підозрілої активності та мінімізувати експозицію вразливого функціоналу. Також варто регулярно переглядати оновлення від розробника плагіна.

Джерела

• NVD
• Reference