Analytical use of cookies
Уразливість Stored XSS у плагіні Events Manager для WordPress
Виявлено Stored XSS у плагіні Events Manager WordPress через недостатню санітизацію шорткоду 'events_list_grouped'. Рекомендується оновлення та обмеження доступу.
- CVSS
- 6.4 MEDIUM
- EPSS
- 29.56%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін Events Manager для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'events_list_grouped' у версіях до 7.2.2.1 включно. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Ця уразливість дозволяє автентифікованим користувачам із правами контриб'ютора та вище впроваджувати довготривалі скрипти, що можуть викликати крадіжку сесій, зміну контенту або інші атаки на відвідувачів сайту. Це підвищує ризик компрометації вебресурсу та довіри користувачів, що негативно впливає на репутацію та безпеку бізнесу.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Events Manager і встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації та зменшити публічний доступ до вразливих функцій. Також варто впровадити додаткові заходи фільтрації та екранування введених даних.