Уразливість Stored XSS у плагіні wp-twitpic для WordPress

Що відомо

Плагін wp-twitpic для WordPress версії до 1.0 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметрів шорткоду 'twitpic'. Аутентифіковані користувачі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з обмеженим доступом впроваджувати шкідливий код, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна wp-twitpic від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче Contributor або тимчасово відключити плагін. Також варто провести аудит логів на предмет підозрілої активності та посилити моніторинг безпеки сайту.

Джерела

• NVD
• Reference
• Reference
• Reference