Вразливість Stored XSS у плагіні Ultimate Member для WordPress

Що відомо

Плагін Ultimate Member для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через поле YouTube відео у версіях до 2.11.0 включно. Аутентифіковані користувачі з рівнем доступу Subscriber і вище можуть впроваджувати шкідливі скрипти у профілі користувачів.

Бізнес-вплив

Вразливість дозволяє зловмисникам впроваджувати довготривалі скрипти, які виконуються при перегляді профілю користувача, що може призвести до викрадення сесій, фішингу або інших атак на користувачів сайту. Це підвищує ризики компрометації даних і порушення довіри до платформи, особливо для сайтів з великою кількістю користувачів.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна Ultimate Member від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення функції додавання YouTube відео у профілі.

Джерела

• NVD
• Reference
• Reference
• Reference