Уразливість Stored XSS у плагіні Shortcode for Google Street View для WordPress

Що відомо

Плагін Shortcode for Google Street View для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'id' у шорткоді 'streetview' у версіях до 0.5.7 включно. Зловмисники з правами не нижче рівня контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами контриб'ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або виконувати небажані дії від імені користувачів. Це підвищує ризик компрометації вебсайту та довіри користувачів, що може призвести до репутаційних та операційних втрат.

Рекомендовані дії адміністратора

Адміністраторам слід перевірити наявність оновлень плагіна від розробника та негайно застосувати їх. Якщо оновлення недоступні, рекомендується обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та переглядати логи на предмет підозрілої активності. Важливо також інформувати команду безпеки про потенційні ризики.

Джерела

• NVD
• Reference
• Reference