Уразливість Stored XSS у плагіні GitHub Gist Shortcode для WordPress

Що відомо

Плагін GitHub Gist Shortcode для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'id' шорткоду 'gist' у версіях до 0.2 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів та цілісність вебресурсу. Це може спричинити викрадення сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його репутацію.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня Contributor і вище, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Також варто розглянути використання додаткових засобів захисту від XSS.

Джерела

• NVD
• Reference
• Reference
• Reference