Уразливість Stored XSS у плагіні SurveyFunnel для WordPress

Що відомо

Плагін SurveyFunnel для WordPress версій до 1.1.5 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню обробку атрибутів шорткоду 'surveyfunnel_lite_survey'. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або поширення шкідливого коду. Власники сайтів і ІТ-оператори повинні враховувати ризики компрометації даних та репутації через експлуатацію цієї вразливості.

Рекомендовані дії адміністратора

Рекомендується оновити плагін SurveyFunnel до останньої версії, де ця уразливість усунена. Якщо оновлення наразі недоступне, слід обмежити права користувачів до мінімально необхідних, перевірити журнали на ознаки експлуатації, а також розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference