Уразливість Stored XSS у плагіні Precise Columns для WordPress

Що відомо

Плагін Precise Columns для WordPress має уразливість типу Stored Cross-Site Scripting через атрибут shortcode `wrap_id` у версіях до 1.0 включно. Зловмисники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість дозволяє автентифікованим користувачам з правами контриб'ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити контент сайту. Це підвищує ризик компрометації вебресурсу та довіри користувачів, що може негативно вплинути на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Precise Columns від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів до мінімально необхідних, проведіть аудит логів на ознаки експлуатації та зменшіть експозицію вразливого функціоналу. Також варто розглянути тимчасове відключення плагіна до виправлення.

Джерела

• NVD
• Reference
• Reference