Уразливість Stored XSS у плагіні Photonic Gallery & Lightbox для WordPress

Що відомо

Плагін Photonic Gallery & Lightbox для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію підписів у функції лайтбоксу у версіях до 3.21 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість дозволяє автентифікованим користувачам із правами контриб’ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що підвищує ризик компрометації вебресурсу. Це створює загрозу для безпеки користувачів і може призвести до втрати довіри та порушення роботи сайту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації та зменшити експозицію вразливого функціоналу. Також варто розглянути тимчасове відключення плагіна до усунення проблеми.

Джерела

• NVD
• Reference
• Reference