Вразливість Stored XSS у плагіні Skip to Timestamp для WordPress

Що відомо

Плагін Skip to Timestamp для WordPress має вразливість типу Stored Cross-Site Scripting через недостатню санітизацію параметра 'time' у шорткоді 'skipto' у версіях до 1.4.4 включно. Зловмисники з правами не нижче рівня контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при відкритті сторінок.

Бізнес-вплив

Вразливість дозволяє автентифікованим користувачам з правами контриб'ютора та вище впроваджувати довготривалі скрипти на сайті, що може призвести до викрадення сесій, зміни контенту або інших атак на відвідувачів сайту. Це створює ризики для репутації та безпеки вебресурсу, особливо якщо плагін використовується на сайтах з багатьма користувачами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Skip to Timestamp і встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит введених даних та журналів доступу, а також розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference