Уразливість Stored XSS у плагіні Simple Youtube Shortcode для WordPress

Що відомо

Плагін Simple Youtube Shortcode для WordPress версій до 1.1.3 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'embed_youtube'. Недостатня санітизація та екранування параметра 'id' дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або поширенням шкідливого коду. Це створює ризики для безпеки вебресурсу та довіри користувачів, особливо якщо на сайті є кілька авторизованих редакторів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Simple Youtube Shortcode від розробника та негайно застосувати їх. Якщо оновлення недоступні, обмежте права користувачів до рівня нижче контриб’ютора, ретельно перевіряйте вміст shortcode 'embed_youtube' на наявність шкідливих скриптів, а також ведіть моніторинг логів на підозрілі дії. Важливо також розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference