Вразливість Stored XSS у плагіні Squirrels Auto Inventory для WordPress

Що відомо

Плагін Squirrels Auto Inventory для WordPress версій до 1.0.3 включно має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію введених даних в адмінських налаштуваннях. Це дозволяє адміністраторам зловмисникам впроваджувати довільні скрипти, які виконуються при перегляді заражених сторінок.

Бізнес-вплив

Вразливість впливає на багатосайтові установки WordPress або ті, де параметр unfiltered_html вимкнено. Зловмисники з правами адміністратора можуть впроваджувати шкідливі скрипти, що може призвести до компрометації облікових записів користувачів або викрадення сесій. Це створює ризик для безпеки вебресурсів і довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів з адміністративними повноваженнями, перевірте налаштування unfiltered_html, перегляньте журнали безпеки на предмет підозрілої активності та мінімізуйте вплив шляхом обмеження доступу до адмінпанелі.

Джерела

• NVD
• Reference
• Reference