Вразливість Stored XSS у плагіні BUKAZU Search для WordPress

Що відомо

Плагін BUKAZU Search для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'shortcode' у шорткоді 'bukazu_search' у версіях до 3.3.2 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Вразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або подальшими атаками. Для власників інфраструктури це означає підвищений ризик втрати довіри користувачів та потенційні репутаційні збитки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна BUKAZU Search та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит логів на ознаки експлуатації, а також розглянути тимчасове вимкнення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference