Уразливість Stored XSS у плагіні WP-Thumbnail для WordPress через шорткод 'roboshot'

Що відомо

Плагін WP-Thumbnail для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через шорткод 'roboshot' у версіях до 1.1 включно. Недостатня санітизація та екранування введених користувачем атрибутів дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати довільні скрипти.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів на сторінках сайту, що відкриває можливості для крадіжки сесій, фішингу або інших атак на користувачів. Власники сайтів і оператори ІТ-інфраструктури повинні враховувати ризики компрометації даних та репутації через експлуатацію цієї вразливості.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP-Thumbnail від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до шорткоду 'roboshot' або видалити його використання, провести аудит логів на предмет підозрілої активності та зменшити експозицію сайту. Пріоритезуйте виправлення відповідно до ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference