Уразливість збереженого XSS у темі Anih для WordPress

Що відомо

Тема Anih - Creative Agency для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через налаштування адміністратора у всіх версіях до 2024 року включно. Уразливість виникає через неповний чорний список, недостатню санітизацію вводу та екранування виводу, що дозволяє адміністраторам впроваджувати довільні скрипти.

Бізнес-вплив

Ця уразливість може дозволити користувачам з правами адміністратора впроваджувати шкідливі скрипти, які виконуватимуться при відкритті сторінок іншими користувачами, що підвищує ризик компрометації сайтів на мультисайтових установках або там, де вимкнено unfiltered_html. Це може призвести до викрадення сесій, зміни контенту або інших атак, що впливають на безпеку і довіру користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень теми Anih від розробника shtheme та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права адміністративних користувачів, перевірити налаштування unfiltered_html, провести аудит журналів безпеки на наявність підозрілої активності та розглянути можливість тимчасового обмеження мультисайтових функцій до усунення уразливості.

Джерела

• NVD
• Reference
• Reference