Уразливість Stored XSS у плагіні Social Feed Gallery Portfolio для WordPress

Що відомо

Плагін Social Feed Gallery Portfolio для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'id' шорткоду [igp-wp] у версіях до 1.3 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може вплинути на довіру клієнтів і призвести до витоку даних або компрометації облікових записів. Власникам сайтів слід оцінити ризики та пріоритетність усунення цієї проблеми.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, обмежте доступ користувачів до рівня Contributor і вище, ретельно перевіряйте введені дані та ведіть моніторинг логів на предмет підозрілої активності. Також слід розглянути тимчасове відключення плагіна до усунення уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference