Уразливість Stored XSS у плагіні WP Company Info для WordPress

Що відомо

Плагін WP Company Info для WordPress має уразливість Stored Cross-Site Scripting (XSS) через атрибут 'class' шорткоду 'social-networks' у версіях до 1.9.0 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити контент сайту. Це створює ризики компрометації вебресурсу та довіри користувачів, що може негативно вплинути на репутацію та безпеку бізнесу.

Рекомендовані дії адміністратора

Рекомендується оновити плагін WP Company Info до останньої версії, де ця уразливість виправлена. Якщо оновлення неможливе, слід обмежити права користувачів до мінімально необхідних, перевірити журнали на наявність підозрілої активності та ретельно контролювати введення даних у шорткодах. Також варто регулярно перевіряти оновлення безпеки від розробника плагіна.

Джерела

• NVD
• Reference
• Reference