Уразливість збереженого XSS у плагіні WP-Recall для WordPress

Що відомо

Плагін WP-Recall для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді 'public-form'. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може бути використана для впровадження шкідливих скриптів, що загрожує безпеці вебсайту, компрометацією сесій користувачів та потенційним викраденням даних. Власники сайтів і оператори ІТ-інфраструктури повинні враховувати ризики, пов’язані з підвищенням привілеїв та впливом на довіру користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP-Recall від розробника plechevandrey і встановити їх у разі доступності. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем контриб'ютора та вище, провести аудит логів на наявність підозрілої активності та мінімізувати експозицію вразливих сторінок.

Джерела

• NVD
• Reference
• Reference