Уразливість Stored XSS у плагіні VK All in One Expansion Unit для WordPress

Що відомо

Плагін VK All in One Expansion Unit для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметри 'vkExUnit_cta_url' та 'vkExUnit_cta_button_text' у версіях до 9.112.1 включно. Помилка логіки в функції збереження CTA призводить до відсутності санітизації введених даних.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок іншими користувачами. Це може призвести до викрадення сесій, зміни контенту або інших атак, що впливають на безпеку вебсайту та довіру користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит журналів на предмет підозрілої активності та мінімізувати ризики шляхом зменшення поверхні атаки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference