Уразливість Stored XSS у плагіні SM CountDown Widget для WordPress

Що відомо

Плагін SM CountDown Widget для WordPress версій до 1.2 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів у шорткоді smcountdown. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайтах, що використовують плагін, що ставить під загрозу безпеку користувачів і може спричинити компрометацію облікових записів або викрадення сесій. Власники сайтів і ІТ-оператори повинні врахувати ризики, особливо якщо на сайті є користувачі з правами контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна SM CountDown Widget від розробника і встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити права користувачів, провести аудит журналів на предмет підозрілої активності, а також мінімізувати вплив шляхом обмеження введення користувачів і застосування додаткових засобів захисту веб-додатків.

Джерела

• NVD
• Reference
• Reference