Уразливість Stored XSS у плагіні T(-) Countdown для WordPress

Що відомо

Плагін T(-) Countdown для WordPress версії до 2.4.8 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'tminus'. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами контриб’ютора і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити контент сторінок, що негативно впливає на безпеку вебресурсу та довіру користувачів. Власникам сайтів слід оцінити ризики та пріоритетність оновлення плагіна для запобігання потенційним атакам.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна T(-) Countdown та встановити останню версію, у якій усунено уразливість. Якщо оновлення недоступне, слід обмежити права користувачів до рівня нижче контриб’ютора, провести аудит логів на ознаки експлуатації та зменшити експозицію вразливих сторінок.

Джерела

• NVD
• Reference
• Reference
• Reference