Уразливість Stored XSS у плагіні ST Categories Widget для WordPress

Що відомо

Плагін ST Categories Widget для WordPress версії 1.0.0 і нижче має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді st-categories. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати шкідливі скрипти на сайти, що може призвести до викрадення сесій користувачів, зміни контенту або інших небажаних дій. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних і зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін ST Categories Widget до останньої версії, якщо доступна, або тимчасово відключити його. Перевірте налаштування доступу користувачів і обмежте права контриб’юторів. Проведіть аудит журналів на предмет підозрілої активності та впровадження скриптів. Загалом, слідкуйте за оновленнями від розробника та мінімізуйте експозицію вразливих компонентів.

Джерела

• NVD
• Reference
• Reference