Уразливість Stored Cross-Site Scripting у плагіні BP Direct Menus для WordPress

Що відомо

Плагін BP Direct Menus для WordPress до версії 1.0.0 містить уразливість Stored Cross-Site Scripting через недостатню санітаризацію та екранування атрибутів шорткоду 'bpdm_login'. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами контриб'ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на безпеку вебсайту та довіру користувачів. Власники інфраструктури повинні врахувати ризики компрометації даних та потенційних атак через браузер.

Рекомендовані дії адміністратора

Рекомендується оновити плагін BP Direct Menus до версії, в якій усунено цю уразливість, або звернутися до розробника для отримання патчу. Якщо оновлення недоступне, слід обмежити права користувачів до мінімально необхідних, перевірити журнали на ознаки експлуатації та зменшити експозицію вразливих сторінок.

Джерела

• NVD
• Reference
• Reference