Уразливість Stored XSS в плагіні Accordion Slider для WordPress

Що відомо

Плагін Accordion Slider для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибуту 'html' у версіях до 1.9.11 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє користувачам з правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, впливаючи на довіру користувачів і безпеку сайту. Однак для успішної експлуатації потрібен адміністратор, який надасть доступ до адмінпанелі плагіна, що обмежує ризики.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від виробника bqworks і застосувати їх. Також слід обмежити доступ до налаштувань плагіна лише адміністраторам, переглянути журнали на предмет підозрілої активності та мінімізувати права користувачів до необхідного мінімуму.

Джерела

• NVD
• Reference
• Reference