Уразливість Stored XSS у плагіні Header and Footer Scripts для WordPress

Що відомо

Плагін Header and Footer Scripts для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр _inpost_head_script у версіях до 2.3.0 включно. Атакувальники з рівнем доступу Contributor і вище можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати шкідливі скрипти, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress повинні враховувати ризики компрометації даних та репутації через можливі атаки XSS.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Header and Footer Scripts та застосувати їх, якщо доступні. Якщо оновлення неможливе, слід обмежити права користувачів до рівня нижче Contributor, ретельно перевіряти введені дані та моніторити журнали на предмет підозрілої активності. Також варто розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference