Уразливість Stored XSS у плагіні SpiceForms Form Builder для WordPress

Що відомо

Плагін SpiceForms Form Builder для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'spiceforms' у версіях до 1.0 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами контриб’ютора або вище впроваджувати довготривалі скрипти, що можуть викрадати сесійні дані або виконувати небажані дії від імені користувачів. Це підвищує ризик компрометації вебсайту та довіри користувачів, особливо для сайтів із багатьма редакторами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте доступ користувачів до рівня нижче контриб’ютора, перегляньте логи на предмет підозрілої активності та мінімізуйте використання shortcode 'spiceforms' до усунення проблеми.

Джерела

• NVD
• Reference
• Reference