Уразливість Stored XSS у плагіні Magical Products Display для WordPress

Що відомо

Плагін Magical Products Display для WordPress має уразливість типу Stored Cross-Site Scripting через параметри 'mpdpr_title_tag' та 'mpdpr_subtitle_tag' у віджеті MPD Pricing Table. Уразливість дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що ставить під загрозу безпеку вебсайту та даних. Для операторів ІТ та власників інфраструктури це означає ризик компрометації облікових записів, викрадення сесій або поширення шкідливого коду серед відвідувачів. Вразливість має середній рівень критичності (CVSS 6.4), тому її слід враховувати у пріоритетах захисту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Magical Products Display та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит журналів на предмет підозрілої активності та мінімізувати вплив шляхом обмеження введення HTML-тегів у відповідних параметрах. Загалом, слід регулярно моніторити безпеку плагінів і застосовувати найкращі практики захисту вебсайтів.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference