Уразливість Stored XSS у плагіні Employee Spotlight для WordPress

Що відомо

Плагін Employee Spotlight – Team Member Showcase & Meet the Team для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію URL соціальних мереж у версіях до 5.1.2 включно. Авторизовані користувачі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з обмеженим доступом впроваджувати довготривалі скрипти, що можуть викрадати сесійні дані або виконувати небажані дії від імені користувачів. Це підвищує ризик компрометації сайту та негативно впливає на довіру користувачів і безпеку бізнес-процесів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів до рівня нижче Contributor, ретельно перевіряйте введені URL соціальних мереж, а також аналізуйте логи на предмет підозрілої активності. Впровадьте додаткові заходи фільтрації та екранізації введених даних.

Джерела

• NVD
• Reference
• Reference