Уразливість Stored XSS у плагіні YouTube Subscribe для WordPress

Що відомо

Плагін YouTube Subscribe для WordPress версій до 3.0.0 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію введених даних у налаштуваннях адміністратора. Це дозволяє автентифікованим користувачам з правами адміністратора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайтах з багатомісцевою інсталяцією WordPress або там, де вимкнено фільтрацію unfiltered_html. Це створює ризики компрометації облікових записів, викрадення сесій або інших атак, що впливають на безпеку та довіру користувачів.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна YouTube Subscribe та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права доступу, особливо для адміністраторів, перевірити налаштування unfiltered_html, зменшити експозицію сайту та моніторити журнали на предмет підозрілої активності.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference