Уразливість Stored XSS у плагіні WP BBCode для WordPress через shortcode 'url'

Що відомо

Плагін WP BBCode для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у shortcode 'url' у версіях до 1.8.1 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що ставить під загрозу безпеку даних і довіру до ресурсу. Це може спричинити крадіжку сесій, фішинг або інші атаки, що негативно впливають на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP BBCode від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче контриб'ютора, провести аудит логів на наявність підозрілої активності та мінімізувати вплив шляхом обмеження введення користувачів.

Джерела

• NVD
• Reference
• Reference