Уразливість Stored XSS у плагіні VK All in One Expansion Unit для WordPress

Що відомо

Плагін VK All in One Expansion Unit для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'vkExUnit_sns_title' у версіях до 9.112.3 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на безпеку та довіру користувачів. Власники сайтів на WordPress повинні врахувати ризики компрометації даних і репутації.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня Contributor і вище, провести аудит журналів на предмет підозрілої активності та впровадити додаткові заходи фільтрації введення.

Джерела

• NVD
• Reference
• Reference