Уразливість Stored XSS у плагіні Shortcode Button для WordPress

Що відомо

Плагін Shortcode Button для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'button' у версіях до 1.1.9 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або подальшими атаками. Для власників сайтів на WordPress це означає підвищений ризик безпеки та потенційні втрати довіри користувачів. Вразливість середньої критичності вимагає уваги для запобігання інцидентам.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Shortcode Button від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, особливо для ролей з можливістю додавання шорткодів. Також варто провести аудит журналів доступу на предмет підозрілої активності та розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference