Уразливість Stored XSS у плагіні Filestack для WordPress через shortcode 'filepicker'

Що відомо

Плагін Filestack для WordPress версій до 2.0.8 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів shortcode 'filepicker'. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на довіру користувачів і безпеку даних. Власникам сайтів слід враховувати ризики для репутації та потенційні втрати через компрометацію.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Filestack до версії, в якій усунено цю уразливість, або звернутися до розробника для отримання патчу. Якщо оновлення неможливе, слід обмежити доступ користувачів до рівня нижче контриб'ютора, ретельно перевіряти введені дані та моніторити логи на ознаки атак. Загалом, варто зменшувати експозицію вразливого функціоналу та пріоритезувати оновлення.

Джерела

• NVD
• Reference
• Reference
• Reference